1. 

În ce măsură și în ce mod instituțiile publice ale unui stat membru sunt autorizate, în cadrul exercitării prerogativelor lor de putere publică, să facă schimb de date cu caracter personal ale cetățenilor lor, în special de date privind veniturile acestora, pe care le colectează în scopul îndeplinirii misiunilor lor de interes general? Aceasta este, în esență, principala problemă care se ridică în cadrul litigiului principal și care necesită interpretarea de către Curte a mai multor dispoziții din Directiva 95/46/CE ( 2 ).

2. 

Mai exact, prezenta cauză oferă Curții oportunitatea de a examina condițiile pe care Directiva 95/46 le impune transmiterii de date cu caracter personal de la o autoritate administrativă la alta prin precizarea obligațiilor care le revin atât persoanelor publice implicate într‑un astfel de transfer, cât și legiuitorului național chemat să reglementeze aceste practici, în special în ceea ce privește informarea persoanelor vizate.

3.

Principalele dispoziții din Directiva 95/46 care sunt relevante pentru soluționarea litigiului principal sunt articolele 7, 10, 11 și 13. Celelalte dispoziții relevante vor fi citate, în măsura în care va fi necesar, pe parcursul analizei.

4.

Articolul 7 din Directiva 95/46 prevede:

„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:

5.

Articolul 10 din Directiva 95/46 prevede:

„Statele membre prevăd ca operatorul sau reprezentantul său să furnizeze persoanei de la care colectează date care o privesc cel puțin informațiile menționate mai jos, cu excepția cazului în care persoana este deja informată cu privire la aceste date:

6.

Articolul 11 din Directiva 95/46 prevede:

„(1)   Atunci când datele nu au fost colectate de la persoana vizată, statele membre prevăd obligativitatea ca operatorul sau reprezentantul său, în momentul înregistrării datelor cu caracter personal sau, dacă se are în vedere o comunicare a datelor către terți, nu mai târziu de data la care datele sunt comunicate prima oară, de a furniza persoanei vizate cel puțin informațiile menționate mai jos, cu excepția cazului în care persoana vizată este deja informată cu privire la aceste date:

(2)   Alineatul (1) nu se aplică atunci când, în special în cazul prelucrării în scopuri statistice sau de cercetare istorică ori științifică, informarea persoanei vizate se dovedește a fi imposibilă, implică eforturi disproporționate sau dacă legislația prevede expres înregistrarea ori comunicarea datelor. În aceste cazuri, statele membre prevăd garanții corespunzătoare.”

7.

Articolul 13 alineatul (1) din Directiva 95/46 prevede:

„(1)   Statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute la articolul 6 alineatul (1), articolul 10, articolul 11 alineatul (1), articolul 12 și articolul 21, dacă o astfel de restricție constituie o măsură necesară pentru a proteja:

8.

Din decizia de trimitere reiese că Legea nr. 95/2006 privind reforma în domeniul sănătății și Ordinul președintelui Casei Naționale de Asigurări de Sănătate ( 3 ) nr. 617/2007 din 13 august 2007 ( 4 ), emis pentru punerea în aplicare a acestei legi, constituie cadrul juridic care reglementează stabilirea calității de asigurat a cetățenilor români cu domiciliul în țară, a cetățenilor străini și a apatrizilor care au solicitat și au obținut prelungirea dreptului de ședere temporară sau care au domiciliul în România și obligațiile de plată a contribuției de asigurări de sănătate care le revin acestora.

9.

Instanța de trimitere precizează că aceste două reglementări autorizează instituțiile statului să transmită CNAS informațiile necesare pentru stabilirea calității de asigurat. Articolul 315 din Legea nr. 95/2006 prevede în această privință următoarele:

„Datele necesare pentru stabilirea calității de asigurat vor fi transmise în mod gratuit caselor de asigurări de sănătate de către autoritățile, instituțiile publice și alte instituții, pe bază de protocol.”

10.

Prin Protocolul nr. P 5282/26.10.2007/95896/30.10.2007 ( 5 ), încheiat la 26 octombrie 2007, Agenția Națională de Administrare Fiscală ( 6 ) și CNAS au stabilit modalitățile de transmitere a datelor relevante. Articolul 4 din acesta prevede:

„După intrarea în vigoare a prezentului protocol, [ANAF], prin intermediul structurilor de profil subordonate, va furniza în format electronic baza de date inițială cu privire la:

11.

Reclamanții din litigiul principal sunt persoane care obțin venituri din activități independente și care, prin deciziile de impunere emise de Casa de Asigurări de Sănătate Cluj (România), au fost notificate să achite contribuțiile datorate la Fondul național unic de asigurări sociale de sănătate stabilite pe baza datelor privind veniturile realizate furnizate CNAS de ANAF.

12.

Reclamanții menționați contestă în fața instanței de trimitere diferitele acte administrative pe baza cărora ANAF a transmis CNAS datele necesare elaborării acestor decizii de impunere, în special datele referitoare la veniturile lor. Aceștia consideră că transferul datelor lor cu caracter personal de către ANAF către CNAS a încălcat dispozițiile Directivei 95/46. Pe baza unui simplu protocol intern, aceste date ar fi fost transmise și utilizate în alte scopuri decât cele pentru care ar fi fost comunicate inițial către CNAS, fără consimțământul expres al reclamanților și fără ca aceștia să fi fost în prealabil informați.

13.

Instanța de trimitere menționează, în această privință, că legislația română prevede în mod strict și limitativ transmiterea datelor necesare pentru stabilirea calității de asigurat, și anume, datele de identificare ale persoanei (nume, prenume, cod numeric personal, domiciliul sau reședința în România), excluzând, prin urmare, datele referitoare la veniturile obținute în România.

14.

În acest context, prin Ordonanța din 31 martie 2014, Curtea de Apel Cluj (România) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele patru întrebări preliminare:

15.

CNAS, guvernele român și ceh, precum și Comisia Europeană au prezentat Curții observații scrise.

16.

Curtea, pe de altă parte, a invitat părțile interesate competente să prezinte observații în sensul articolului 23 din Statutul Curții de Justiție a Uniunii Europene pentru a‑și exprima poziția în ședință cu privire la trei aspecte, și anume, cu privire la domeniul de aplicare al obligațiilor care revin, în temeiul articolelor 10 și 11 din Directiva 95/46, ANAF, în calitate de emitent al datelor transferate, precum și CNAS, în calitate de destinatar al datelor respective, cu privire la relevanța articolului 13 din Directiva 95/46 pentru interpretarea solicitată de instanța de trimitere și, în sfârșit, cu privire la criteriile pe baza cărora Protocolul din 26 octombrie 2007 încheiat între CNAS și ANAF ar putea constitui o „măsură legislativă” în sensul articolului 13 din Directiva 95/46.

17.

Reclamanții din litigiul principal, guvernul român și Comisia au prezentat observații orale și au răspuns la întrebările adresate de Curte în cursul ședinței publice care a avut loc la 29 aprilie 2015.

18.

Toate părțile interesate care au prezentat observații Curții au fost de acord că primele trei întrebări preliminare adresate de instanța de trimitere, care privesc interpretarea articolului 124 TFUE, trebuie declarate inadmisibile, întrucât această dispoziție a dreptului primar nu are legătură cu obiectul litigiului principal și nu își poate găsi aplicarea în cauza principală.

19.

În speță, articolul 124 TFUE, care face parte din capitolul din tratat referitor la politica economică, interzice orice măsură care acordă statelor membre un acces preferențial la instituțiile financiare. Dispoziția menționată, care supune sectorul public în operațiunile sale financiare disciplinei mecanismului de piață și aduce astfel o contribuție la întărirea disciplinei bugetare ( 7 ), urmărește, împreună cu articolele 123 TFUE și 125 TFUE, un obiectiv de natură preventivă care vizează, astfel cum Curtea a avut ocazia să sublinieze, reducerea pe cât posibil a riscului de crize ale datoriilor suverane ( 8 ).

20.

Articolul 1 alineatul (1) din Regulamentul nr. 3604/93 definește noțiunea „orice măsură de instituire a unui acces privilegiat” ca fiind orice act cu putere de lege, normă administrativă sau orice alt instrument juridic imperativ, adoptat în exercițiul autorității publice, care fie obligă instituțiile financiare să achiziționeze sau să dețină pasive, printre altele, ale administrațiilor centrale, autorităților regionale, locale sau ale altor autorități publice, ale altor organisme de drept public sau întreprinderi publice ale statelor membre, fie conferă avantaje fiscale de care pot beneficia numai instituțiile financiare sau avantaje financiare care nu sunt conforme principiilor unei economii de piață, pentru a încuraja achiziționarea sau deținerea de către aceste instituții a unor astfel de pasive.

21.

În mod evident, situația în discuție în litigiul principal și, mai exact, accesul CNAS la datele colectate de ANAF nu pot fi interpretate în sensul unui „acces preferențial” la „instituțiile financiare” ( 9 ), despre care, de altfel, nici nu este vorba în decizia de trimitere.

22.

Prin urmare, este evident că articolul 124 TFUE nu își poate găsi aplicarea în litigiul principal și că primele trei întrebări adresate de instanța de trimitere trebuie, pe cale de consecință, să fie respinse ca inadmisibile.

23.

Pe de altă parte, trebuie remarcat, în ceea ce privește a patra întrebare adresată de instanța de trimitere, că aceasta este formulată în termeni foarte generali, că nu menționează dispozițiile dreptului Uniunii a căror interpretare este necesară pentru soluționarea litigiului principal și că nu conține decât o prezentare succintă a cadrului juridic și factual al litigiului principal, astfel încât s‑ar putea de asemenea avea în vedere respingerea acesteia ca inadmisibilă.

24.

Guvernul român a susținut, în această privință, că nu vede nicio legătură între prejudiciul invocat de reclamanții din litigiul principal, care decurge din prelucrarea datelor în discuție în litigiul principal, și anularea actelor administrative pe care aceștia o urmăresc în cadrul procedurii principale.

25.

Desigur, este adevărat că menționarea de către instanța de trimitere a prejudiciilor patrimoniale aduse în mod retroactiv persoanelor vizate de transmitere este, astfel cum reiese din examinarea pe fond a celei de a patra întrebări, lipsită de relevanță în ceea ce privește examinarea compatibilității legislației naționale cu prevederile Directivei 95/46.

26.

Cu toate acestea, reiese în mod clar din decizia de trimitere că a patra întrebare privește interpretarea dispozițiilor din Directiva 95/46. Astfel, instanța de trimitere precizează că solicită să se răspundă, pe de o parte, făcând referire în mod implicit la situația prevăzută la articolul 11 din Directiva 95/46, dacă prelucrarea de către CNAS a datelor cu caracter personal colectate de ANAF s‑a realizat cu respectarea obligațiilor de informare care îi revin. Pe de altă parte, instanța de trimitere menționează că solicită să se răspundă dacă transmiterea datelor cu caracter personal pe baza Protocolului din 26 octombrie 2007 constituie o încălcare a obligației statului membru de a garanta prelucrarea datelor cu caracter personal în conformitate cu dispozițiile Directivei 95/46, făcând referire, tot în mod implicit, la articolul 13 din această directivă, care autorizează restricții privind drepturile garantate de directivă atunci când acestea sunt prevăzute de lege și sunt însoțite de garanții legale.

27.

Prezentarea de către instanța de trimitere a întrebărilor sale permite astfel să se identifice în mod corespunzător problema de interpretare a Directivei 95/46 pe care o ridică litigiul principal.

28.

În această privință, trebuie amintit că, potrivit unei jurisprudențe constante, Curtea poate refuza să răspundă la o întrebare preliminară numai dacă este evident că interpretarea solicitată a dreptului Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate ( 10 ).

29.

În consecință, considerăm că a patra întrebare preliminară adresată de instanța de trimitere este admisibilă și trebuie examinată.

30.

Prin intermediul celei de a patra întrebări, interpretată în lumina explicațiilor prezentate în decizia de trimitere și a considerațiilor de mai sus, instanța de trimitere solicită, în esență, să se stabilească dacă Directiva 95/46 trebuie interpretată în sensul că se opune unei reglementări naționale care permite unei instituții publice a unui stat membru să prelucreze date cu caracter personal care nu îi erau destinate, în special datele referitoare la veniturile persoanelor vizate, fără ca acestea din urmă să își fi dat consimțământul în această privință și fără să fi fost informate în prealabil.

31.

Reclamanții din litigiul principal au arătat, în ședință, că instanța de trimitere solicită, în esență, să stabilească în ce măsură practica administrativă națională, care se reflectă în speță în Protocolul din 26 octombrie 2007 și care constă în transmiterea de către ANAF către CNAS în mod automat și repetitiv a datelor cu caracter personal, care includ date fiscale, ale anumitor categorii de contribuabili (nume, prenume, categorii de venituri și impozite plătite), este compatibilă cu cerințele de ordin procedural prevăzute de Directiva 95/46.

32.

Răspunzând la întrebările adresate de Curte, reclamanții din litigiul principal consideră că articolul 11 din Directiva 95/46 este norma care trebuie să se aplice în cauza principală. Această dispoziție ar defini obligațiile care revin operatorului principal (ANAF) și operatorului secundar (CNAS) de date cu caracter personal, în speță obligația de a comunica persoanelor vizate, printre altele, identitatea operatorului secundar, scopul prelucrării datelor transmise și categoriile de date transmise. Obligațiile menționate ar reveni, în principal, operatorului secundar și ele trebuie să fie îndeplinite nu mai târziu de data la care datele sunt comunicate prima oară.

33.

Reclamanții din litigiul principal subliniază, în această privință, că Protocolul din 26 octombrie 2007 conține o incoerență deoarece, pe de o parte, articolul 4 din acesta ar prevedea transmiterea bazelor de date generale care fac obiectul unor modificări periodice, în timp ce, pe de altă parte, articolul 6 alineatul 1 din acesta ar prevedea că datele trebuie să fie transmise în mod individual pe baza unui proces‑verbal. Or, în practica națională reală, nu ar exista astfel de procese‑verbale, iar transferurile ar avea loc în mod automat prin încălcarea acestor cerințe procedurale.

34.

Aceștia susțin, pe de altă parte, că articolul 13 din Directiva 95/46 nu are niciun impact asupra soluționării litigiului principal, întrucât CNAS nu are competența de a stabili contribuțiile la fondul de asigurări de sănătate. Prin urmare, transmiterea datelor nu era necesară decât în cazul unui număr redus de contribuabili pentru care obligația de a plăti contribuția fusese stabilită, dar care nu au executat în mod voluntar această obligație.

35.

Reclamanții din litigiul principal subliniază însă că, în cazul în care Curtea ar considera că articolul 13 din Directiva 95/46 este aplicabil, ANAF și CNAS ar avea obligația de a justifica necesitatea transmiterii datelor în cauză și, prin urmare, de a stabili existența unei măsuri legislative care autorizează această transmitere în lipsa consimțământului persoanelor vizate. Or, o astfel de măsură legislativă nu ar exista, iar Protocolul din 26 octombrie 2007 nu ar putea să i se substituie. Întrucât protocolul nu a fost publicat în Monitorul Oficial, nu ar răspunde cerințelor de previzibilitate și de securitate juridică și, în consecință, nu ar putea să producă efecte erga omnes.

36.

Guvernul român, în observațiile sale scrise, împărtășite, în esență, de CNAS, a susținut, pe de o parte, că transmiterea informațiilor privind veniturile obținute din activități independente între ANAF și CNAS era prevăzută de lege și era necesară pentru ca CNAS să își îndeplinească sarcina și, pe de altă parte, că prelucrarea de către aceasta din urmă a acestor informații era necesară în vederea îndeplinirii unei obligații legale care îi revenea în sensul articolului 7 din Directiva 95/46. În consecință, nu ar fi necesare nici consimțământul persoanelor vizate, nici informarea acestora din urmă, în temeiul articolului 10 și al articolului 11 din Directiva 95/46.

37.

În ședință, guvernul român a insistat asupra faptului că transmiterea și prelucrarea datelor cu caracter personal în litigiu se înscriau în cadrul obligațiilor de colaborare care le revin instituțiilor publice în temeiul Codului de procedură fiscală, în special al articolelor 11 și 62 din acesta. În această privință, Protocolul din 26 octombrie 2007 nu ar constitui temeiul juridic al acestor obligații, ci s‑ar limita la reglementarea modalităților de transmitere a datelor de la ANAF către CNAS. Aceste obligații de transmitere a informațiilor fiscale, care nu ar putea să existe decât între instituții publice și în unicul scop de a stabili cuantumul impozitului și al contribuțiilor datorate, inclusiv al contribuțiilor de asigurări de sănătate, ar urmări, așadar, un obiectiv legitim de protecție a intereselor financiare care intră sub incidența dispozițiilor articolului 13 alineatul (1) litera (e) din Directiva 95/46. În consecință, informarea persoanelor vizate nu ar fi necesară.

38.

Guvernul ceh susține în principal că transmiterea de către ANAF a datelor în litigiu către CNAS se poate realiza fără consimțământul persoanelor vizate, în temeiul articolului 7 litera (e) din Directiva 95/46, și fără a fi necesară informarea acestora în acest sens, în conformitate cu excepțiile prevăzute la articolul 11 alineatul (2) și la articolul 13 din aceeași directivă. Pe de altă parte, directiva nu ar conține nicio prevedere care să impună ca transmiterea datelor cu caracter personal între instituțiile publice să fie în mod expres prevăzută de o dispoziție cu aplicabilitate generală.

39.

În observațiile sale scrise, Comisia a subliniat mai întâi că datele în discuție în cauza principală sunt date cu caracter personal în sensul articolului 2 litera (a) din Directiva 95/46, că cele două instituții naționale în cauză, și anume, ANAF și CNAS, pot fi calificate drept operatori ai datelor menționate, în sensul articolului 2 litera (d) din aceeași directivă, și că atât colectarea, cât și transmiterea acestor date intră sub incidența calificării drept „prelucrare a datelor cu caracter personal” în sensul articolului 2 litera (b) din directiva menționată.

40.

Totodată, în observațiile sale scrise, Comisia a propus Curții să statueze că articolele 6 și 7 din Directiva 95/46 trebuie interpretate în sensul că nu se opun transmiterii de date privind veniturile în discuție în litigiul principal, cu condiția ca o astfel de transmitere să se efectueze pe baza unor prevederi legale clare și precise și a căror aplicare este previzibilă pentru persoanele vizate, aspect care trebuie verificat de instanța de trimitere.

41.

Comisia a dezvoltat totuși această concluzie în observațiile sale orale, prin intermediul răspunsurilor oferite la întrebările formulate de Curte în ședință. În esență, Comisia arată că condițiile privind consimțământul și informarea persoanelor vizate, pe care dispozițiile coroborate ale articolelor 7, 10, 11 și 13 din Directiva 95/46 le impun colectării, transmiterii și prelucrării datelor cu caracter personal, nu sunt îndeplinite în împrejurările cauzei principale și că, în orice caz, reglementarea națională, în special Protocolul din 26 octombrie 2007 încheiat între ANAF și CNAS, nu îndeplinește cerințele prevăzute la articolul 13 din aceeași directivă, astfel cum este interpretat în lumina articolelor 8 și 52 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”) și a articolului 8 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950.

42.

Astfel, Comisia arată că Directiva 95/46 se întemeiază pe principiul conform căruia persoana vizată de prelucrarea datelor sale cu caracter personal trebuie să aibă cunoștință, în temeiul unor prevederi legale clare, precise și previzibile, despre orice limitare a drepturilor care îi sunt conferite de Directiva 95/46. Or, transmiterea datelor în discuție în litigiul principal ar interveni pe baza unui simplu protocol de cooperare între cele două instituții care se întemeiază el însuși pe o dispoziție a Legii nr. 95/2006, care, făcând trimitere la datele necesare pentru stabilirea calității de asigurat, nu ar îndeplini aceste cerințe de claritate.

43.

Examinând diferitele întrebări care au fost adresate de Curte în vederea unor răspunsuri orale, Comisia subliniază că atât ANAF, cât și CNAS ar fi trebuit să furnizeze persoanelor vizate informațiile impuse de articolele 10 și 11 din Directiva 95/46 și că legislația română nu îndeplinește cerințele stabilite pentru a se putea deroga de la aceste obligații.

44.

Comisia remarcă în această privință mai întâi că reglementarea română nu pare să îndeplinească condițiile stabilite la articolul 11 alineatul (2) din Directiva 95/46, în temeiul căruia dispozițiile prevăzute la alineatul (1) al acestui articol nu se aplică atunci când legislația națională prevede expres înregistrarea sau comunicarea datelor, indicând însă că acest aspect trebuie examinat de instanța de trimitere.

45.

Ea menționează, în continuare, că orice restricție a dreptului la informare al persoanelor vizate prevăzut la articolele 10 și 11 din Directiva 95/46 trebuie, conform articolului 13 din directiva menționată, să fie cuprinsă într‑o măsură legislativă, să urmărească unul dintre obiectivele de interes general pe care această dispoziție le enumeră și să fie proporțională. Or, legislația română nu ar conține nicio măsură care să prevadă o astfel de derogare, iar dispoziția care prevede transmiterea datelor de la ANAF la CNAS nu poate fi considerată dispoziție care indică în mod clar că persoanele vizate nu vor fi informate în acest sens.

46.

Comisia remarcă, în această privință, că Protocolul din 26 octombrie 2007 încheiat între ANAF și CNAS, care reglementează transmiterea informațiilor între cele două instituții, dar care nu conține totuși prevederi referitoare la informarea persoanelor vizate, nu poate fi considerat o măsură legislativă în sensul articolului 13 din Directiva 95/46. Acesta ar fi un simplu acord bilateral, nepublicat în Monitorul Oficial, care nu ar produce efecte juridice obligatorii și nu ar fi opozabil terților. Articolul 13 din Directiva 95/46 ar reflecta, în această privință, dispozițiile articolului 52 alineatul (1) din cartă și ale articolului 8 alineatul (2) din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale în domeniul specific al protecției datelor cu caracter personal și ar trebui, prin urmare, să fie interpretat în lumina jurisprudenței relevante a Curții și a Curții Europene a Drepturilor Omului.

47.

În orice caz, presupunând că s‑ar putea considera că legislația română prevede într‑adevăr derogarea legală necesară, ar trebui ca restricția privind obligația de informare a persoanelor vizate să îndeplinească criteriul necesității și să fie proporțională. Deși, în această privință, se poate admite, pe de o parte, că funcționarea serviciului public de asigurări de sănătate constituie un obiectiv de interes general în sensul articolului 13 din Directiva 95/46 și că transmiterea datelor de la ANAF la CNAS contribuie la realizarea acestui obiectiv, este, în schimb, dificil de înțeles motivul pentru care ar fi necesar să se omită informarea persoanelor vizate, întrucât această informare nu este susceptibilă să aducă atingere realizării obiectivului menționat.

48.

Pentru a fi în măsură să oferim un răspuns util instanței de trimitere, trebuie să începem prin a aminti principalele norme prevăzute la articolele 5-7 și 10-13 din Directiva 95/46, care, întrucât reglementează prelucrarea și transmiterea datelor cu caracter personal, sunt relevante pentru soluționarea litigiului principal.

49.

Conform articolului 5 din Directiva 95/46, statelor membre le revine obligația de a preciza condițiile în care operațiunile de prelucrare a datelor cu caracter personal sunt legale, în limitele dispozițiilor articolelor 6-21 din directivă.

50.

Astfel cum Curtea a amintit în mod repetat, sub rezerva derogărilor permise în temeiul articolului 13 din Directiva 95/46, orice prelucrare a datelor cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile referitoare la calitatea datelor, enunțate la articolul 6 din directiva menționată, și, pe de altă parte, să respecte unul dintre principiile privind legitimitatea prelucrării datelor, enumerate la articolul 7 din aceeași directivă ( 11 ).

51.

Articolele 6 și 7 din această directivă definesc astfel, în ceea ce privește prezenta cauză, trei prime cerințe privind colectarea și prelucrarea datelor cu caracter personal.

52.

Operatorul ( 12 ) trebuie, printre altele, să asigure că datele cu caracter personal sunt colectate în scopuri determinate, explicite și legitime, că sunt prelucrate în mod corect și legal și că nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri ( 13 ).

53.

Articolul 7 din Directiva 95/46 prevede, la rândul său, că o prelucrare a datelor cu caracter personal poate fi considerată legitimă și, prin urmare, poate fi efectuată numai cu condiția să corespundă uneia dintre situațiile enumerate la acest articol și în special, în ceea ce privește prezenta cauză, dacă persoana vizată și‑a dat consimțământul neechivoc în această privință ( 14 ) sau dacă prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului ( 15 ) sau dacă prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele ( 16 ).

54.

Curtea a decis că această dispoziție stabilea o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală ( 17 ). Ea a precizat de asemenea că, ținând seama de obiectivul Directivei 95/46, care constă în asigurarea unui nivel de protecție echivalent în toate statele membre, noțiunea de necesitate, astfel cum rezultă din articolul 7 litera (e) din această directivă, nu poate avea un conținut care să varieze în funcție de statele membre și constituie, așadar, o noțiune autonomă a dreptului Uniunii ( 18 ).

55.

Articolele 10 și 11 din Directiva 95/46 definesc, la rândul lor, obligațiile de informare care îi revin operatorului de date cu caracter personal și fac distincție între cazul în care aceste date sunt colectate de la persoana vizată și cazul în care datele nu sunt colectate de la persoana vizată.

56.

Articolul 10 din Directiva 95/46, interpretat în lumina considerentului (38) al acesteia, prevede că persoanele de la care operatorul a colectat datele trebuie, cu excepția cazului în care ele sunt informate în alt mod, să aibă posibilitatea de a afla despre existența prelucrărilor și să beneficieze de o informare precisă și completă cu privire la această colectare și, în special, pentru ca această prelucrare să poată fi considerată ca fiind corectă, să fie informate cu privire la scopul prelucrării căreia îi sunt destinate datele, precum și cu privire la destinatarii sau la categoriile de destinatari ai datelor, astfel cum se menționează la articolul 10 literele (b) și (c).

57.

Articolul 11 alineatul (1) din Directiva 95/46, interpretat în lumina considerentelor (39) și (40) ale acesteia, are în vedere ipotezele în care prelucrarea implică date care nu au fost colectate de la persoanele vizate, în special în cazul în care datele au fost comunicate în mod legitim unui terț, deși comunicarea respectivă nu a fost prevăzută în momentul colectării datelor ( 19 ). În astfel de cazuri, exceptând situația în care sunt informate în alt mod, persoanele vizate trebuie să beneficieze de asemenea, în momentul înregistrării datelor sau cel târziu atunci când datele sunt comunicate pentru prima dată, dacă se are în vedere o comunicare a datelor unui terț, de informații referitoare, în special, la scopul prelucrării, la categoriile de date în cauză și la destinatarii sau la categoriile de destinatari, astfel cum se menționează la articolul 11 alineatul (1) literele (b) și (c).

58.

Cu toate acestea, conform articolului 11 alineatul (2) din directivă, dispozițiile alineatului (1) al acestui articol nu se aplică dacă, între altele, înregistrarea sau comunicarea datelor este prevăzută de lege, fiind necesar ca, în acest caz, statele membre să prevadă garanții corespunzătoare.

59.

Articolul 13 din Directiva 95/46, intitulat „Excepții și restricții”, prevede, în sfârșit, că statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute în special la articolul 6 alineatul (1) și la articolul 11 alineatul (1) din directiva menționată, dacă o astfel de restricție constituie o măsură necesară pentru a proteja interese superioare și, între altele, „un interes economic sau financiar important al unui stat membru sau al Uniunii Europene, inclusiv în domeniile monetar, bugetar și fiscal” ( 20 ), sau „o funcție de monitorizare, de inspecție sau de reglementare legată, chiar și ocazional, de exercitarea autorității publice în cazurile menționate la literele (c), (d) și (e)” ale articolului 13 alineatul (1) din această directivă ( 21 ).

60.

În consecință, situația în discuție în litigiul principal trebuie să fie examinată în lumina ansamblului dispozițiilor menționate.

61.

Trebuie constatat, în primul rând, că datele în discuție în cauza principală, transmise de ANAF către CNAS, constituie date cu caracter personal în sensul articolului 2 litera (a) din Directiva 95/46. Astfel, aceste date, care includ în special numele și prenumele persoanelor vizate ( 22 ), precum și informații cu privire la veniturile ( 23 ) lor, constituie fără îndoială „informații referitoare la o persoană fizică identificată sau identificabilă”. Transmiterea datelor de către ANAF și prelucrarea lor de către CNAS prezintă caracterul unei prelucrări a datelor cu caracter personal în sensul articolului 2 litera (b) din directiva menționată.

62.

În plus, nu se contestă că situația în discuție în litigiul principal intră în domeniul de aplicare al Directivei 95/46.

63.

Situația în discuție în litigiul principal este, pe de altă parte, susceptibilă să intre atât sub incidența articolului 10 din Directiva 95/46, cât și sub incidența articolului 11 din aceasta. Astfel și după cum reiese din considerațiile de mai sus, prelucrarea corectă de către ANAF a datelor cu caracter personal ale reclamanților din litigiul principal presupunea ca ANAF să îi informeze, printre altele, cu privire la transmiterea acestor date către CNAS, conform articolului 10 litera (c) din Directiva 95/46. În plus, prelucrarea de către CNAS a datelor transmise de ANAF presupunea de asemenea ca reclamanții menționați să fie cel puțin informați cu privire la scopul prelucrării respective, precum și cu privire la categoriile de date vizate, conform articolului 11 alineatul (1) literele (b) și (c) din Directiva 95/46.

64.

În al doilea rând, trebuie remarcat că întrebarea adresată de instanța de trimitere ( 24 ) nu privește prelucrarea de către ANAF a datelor cu caracter personal în discuție în litigiul principal, mai precis, condițiile de legalitate și de legitimitate ale prelucrării respective, în sensul articolelor 6 și 7 din Directiva 95/46.

65.

Întrebarea nu privește decât transmiterea datelor de la o instituție publică la alta, mai precis, transmiterea datelor colectate de ANAF către CNAS și prelucrarea datelor respective de către aceasta din urmă, operațiuni care, pe de o parte, s‑ar fi desfășurat fără consimțământul persoanelor vizate și fără informarea lor și care, pe de altă parte, ar fi fost executate în conformitate cu o reglementare națională care nu îndeplinește cerințele Directivei 95/46, în special obligațiile de informare a persoanelor vizate prevăzute la articolele 10 și 11 din Directiva 95/46.

66.

A patra întrebare preliminară adresată de instanța de trimitere, care trebuie examinată atât din punctul de vedere al obligațiilor care revin ANAF, cât și al obligațiilor care revin CNAS, trebuie, așadar, să fie examinată, în esență, în lumina, mai întâi, a dispozițiilor articolelor 7, 10 și 11 din Directiva 95/46 și a condițiilor privind consimțământul și informarea persoanelor vizate de prelucrarea datelor în discuție pe care aceste dispoziții le prevăd. Întrebarea menționată va trebui de asemenea examinată, dacă este cazul, în lumina dispozițiilor articolului 13 din aceeași directivă, care definește excepțiile și restricțiile privind domeniul obligațiilor și al drepturilor prevăzute în special la articolul 10 și la articolul 11 alineatul (1) din directivă.

67.

Este cert că reclamanții din litigiul principal și, în sens larg, persoanele vizate de transmiterea datelor cu caracter personal colectate de ANAF către CNAS și prelucrarea datelor respective de aceasta din urmă nu au fost, pe de o parte, informate cu privire la transmiterea efectuată de ANAF, conform prevederilor articolului 10 din Directiva 95/46. Pe de altă parte, persoanele vizate nici nu și‑au dat consimțământul în mod formal, în sensul articolului 7 alineatul (1) litera (a) din Directiva 95/46, cu privire la prelucrarea datelor de către CNAS, nici nu au fost informate cu privire la prelucrarea respectivă conform dispozițiilor articolului 11 alineatul (1) din această directivă.

68.

În ceea ce privește consimțământul, este clar că, astfel cum au susținut guvernul român și CNAS, prelucrarea de către CNAS a datelor cu caracter personal ale persoanelor care obțin venituri din activități independente intră sub incidența dispozițiilor articolului 7 litera (e) din Directiva 95/46. În consecință, consimțământul persoanelor menționate în această privință nu era, așadar, necesar ( 25 ).

69.

Astfel, în speță, CNAS are obligația, în temeiul Legii nr. 95/2006, de a stabili calitatea de asigurat a persoanelor care obțin venituri din activități independente, calitate a cărei recunoaștere este supusă plății de către aceste persoane a contribuțiilor lor de asigurări de sănătate la casele de asigurări de sănătate județene. Prelucrarea de către CNAS a datelor cu caracter personal ale persoanelor care obțin venituri din activități independente care îi sunt transmise de către ANAF este, prin urmare, necesară pentru stabilirea calității lor de asigurat și, in fine, pentru acordarea drepturilor care decurg din această calitate. În consecință, consimțământul persoanelor vizate de prelucrarea datelor cu caracter personal în discuție în litigiul principal nu era necesar.

70.

Cu toate acestea, revine instanței de trimitere sarcina de a se asigura că datele transmise și prelucrate de CNAS respectă criteriul necesității prevăzut de această dispoziție, verificând că nu depășesc ceea ce este strict necesar pentru îndeplinirea de către CNAS a sarcinii sale ( 26 ).

71.

Prin urmare, problema care trebuie să rețină atenția este, în esență, problema respectării cerințelor de informare a persoanelor vizate de transmiterea de către ANAF a datelor cu caracter personal și de prelucrarea acestor date de către CNAS, în condițiile stabilite la articolele 10 și 11 din Directiva 95/46.

72.

Astfel cum s‑a indicat deja mai sus, se poate considera că transmiterea de către ANAF a datelor cu caracter personal ale persoanelor care obțin venituri din activități independente către CNAS și prelucrarea de către aceasta din urmă a datelor respective îndeplinesc cerințele din Directiva 95/46 numai cu condiția ca persoanele vizate să fi fost informate conform articolului 10 și articolului 11 alineatul (1) din directivă.

73.

Mai precis, statului membru îi revenea sarcina să stabilească măsurile necesare pentru ca una sau cealaltă dintre cele două instituții, ambele operatori ai datelor cu caracter personal în discuție în litigiul principal, să comunice persoanelor vizate informațiile necesare, și anume, ANAF în temeiul articolului 10 din Directiva 95/46 și CNAS în temeiul articolului 11 din aceeași directivă, cu excepția cazului în care, în această din urmă situație, înregistrarea sau comunicarea a fost prevăzută de lege.

74.

Trebuie subliniat în această privință că, astfel cum a indicat Comisia în ședință, cerința informării persoanelor vizate de prelucrarea datelor lor cu caracter personal, care garantează transparența oricărei prelucrări, este cu atât mai importantă, cu cât condiționează exercitarea de către părțile interesate a dreptului lor de acces la datele prelucrate, menționat la articolul 12 din Directiva 95/46, și a dreptului de opoziție al acestora la prelucrarea datelor respective, definit la articolul 14 din aceeași directivă.

75.

În speță, este cert că reclamanții din litigiul principal nu au fost informați în mod oficial și individual de ANAF cu privire la transmiterea datelor lor cu caracter personal către CNAS și în special a datelor referitoare la veniturile lor, în conformitate cu articolul 10 din Directiva 95/46. Este de asemenea cert că nici CNAS nu le‑a furnizat, în momentul înregistrării datelor transmise de ANAF, informațiile enumerate la articolul 11 alineatul (1) literele (a)-(c) din Directiva 95/46.

76.

Guvernul român a susținut totuși că ANAF are, în temeiul mai multor prevederi din Codul de procedură fiscală și al articolului 315 din Legea nr. 95/2006, obligația de a transmite caselor de asigurări de sănătate județene informațiile necesare pentru stabilirea de către CNAS a „calității de asigurat” a persoanelor care obțin venituri din activități independente și că valoarea contribuțiilor datorate de acestea din urmă nu poate fi determinată decât pe baza informațiilor cu privire la veniturile menționate care sunt deținute de ANAF, la care persoanele respective trebuie să depună o declarație de venituri anuală.

77.

Astfel, potrivit guvernului român, legea ar prevedea o obligație pentru CNAS de a prelucra datele cu caracter personal ale persoanelor care obțin venituri din activități independente, în special pentru inițierea procedurilor de executare silită pentru recuperarea contribuțiilor neplătite, iar ANAF ar avea, în mod corespunzător, obligația de a furniza informații cu privire la veniturile persoanelor respective necesare în acest scop, precizându‑se că modalitățile concrete de transmitere a informațiilor în cauză între cele două instituții naționale sunt stabilite prin Protocolul din 26 octombrie 2007 încheiat de cele două instituții, prevăzut în mod expres la articolul 315 din Legea nr. 95/2006.

78.

În această privință, trebuie observat mai întâi că faptul că transmiterea datelor în litigiu se realizează între instituții publice în executarea obligațiilor generale de colaborare prevăzute de dispozițiile generale ale Legii nr. 95/2006 sau ale Codului de procedură fiscală nu poate, în sine, să exonereze statul membru și instituțiile în cauză de obligațiile de informare care le revin în temeiul Directivei 95/46.

79.

În orice caz, nu se poate considera că articolul 315 din Legea nr. 95/2006 se poate substitui informării prealabile a persoanelor vizate în sensul articolului 10 din Directiva 95/46. Astfel, această dispoziție se referă la informațiile privind calitatea de asigurat, fără să menționeze în niciun mod veniturile persoanelor vizate, astfel încât acestea din urmă nu pot fi considerate informate cu privire la transmiterea datelor referitoare la veniturile lor în sensul articolului 10 menționat.

80.

Or, datele privind veniturile persoanelor vizate au o importanță care justifică pe deplin ca transmiterea lor de către instituția publică responsabilă de colectarea lor către o altă instituție publică să facă obiectul unei informări specifice conform cerințelor prevăzute la articolul 10 literele (b) și (c) din Directiva 95/46, situație care nu s‑a regăsit în cauza principală.

81.

În acest stadiu al analizei situației din litigiul principal, nu mai rămâne, așadar, decât să examinăm dacă lipsa informării persoanelor vizate este, în mod alternativ, susceptibilă să intre sub incidența cerințelor prevăzute la articolul 13 din Directiva 95/46, dispoziție care prevede posibilitatea ca statele membre să stabilească excepții și restricții privind domeniul drepturilor și obligațiilor prevăzute în special la articolul 10 și la articolul 11 alineatul (1), cu respectarea unor garanții care corespund cu cele prevăzute la articolul 52 alineatul (1) din cartă ( 27 ). Această dispoziție presupune ca o astfel de restricție privind obligația de informare a persoanelor vizate să fi fost prevăzută printr‑o măsură legislativă ( 28 ), să fie justificată de unul dintre obiectivele de interes general enumerate de această dispoziție și să fie strict proporțională cu obiectivul urmărit.

82.

În speță, nu se contestă că transmiterea de către ANAF a datelor necesare pentru stabilirea de către CNAS a calității de asigurat a persoanelor care obțin venituri din activități independente, precum și, de altfel, prelucrarea de către aceasta din urmă a informațiilor astfel transmise s‑ar putea dovedi necesare pentru protecția unui interes economic sau financiar important în domeniul fiscal al statului membru în cauză, în sensul articolului 13 alineatul (1) litera (e) din Directiva 95/46.

83.

Cu toate acestea, nici din decizia de trimitere, nici din observațiile scrise și orale prezentate Curții de guvernul român nu reiese că legislația națională aplicabilă în cauza principală cuprinde dispoziții legislative care să scutească în mod clar și explicit ANAF și/sau CNAS de obligațiile lor de informare.

84.

În această privință, nu poate fi admis argumentul invocat de guvernul român, potrivit căruia dispozițiile legale care impun ANAF obligația de a transmite către CNAS datele necesare pentru îndeplinirea sarcinii sale și Protocolul din 26 octombrie 2007 încheiat între cele două instituții care organizează această transmitere ar constitui „măsura legislativă” prevăzută la articolul 13 alineatul (1) din Directiva 95/46 pentru a deroga de la obligația de informare care le revine operatorilor de date cu caracter personal.

85.

Astfel, Protocolul din 26 octombrie 2007 invocat de guvernul român nu îndeplinește, în mod evident, după cum a subliniat Comisia, prima dintre aceste cerințe, întrucât nu poate fi asimilat unei măsuri legislative cu aplicabilitate generală, publicată în mod corespunzător și opozabilă persoanelor vizate de transmiterea datelor în litigiu.

86.

În consecință, considerăm că la a patra întrebare adresată de instanța de trimitere trebuie să se răspundă că Directiva 95/46 trebuie interpretată în sensul că se opune unei reglementări naționale precum cea în discuție în litigiul principal, care permite unei instituții publice a unui stat membru să prelucreze datele cu caracter personal care i‑au fost transmise de o altă instituție publică, în special datele privind veniturile persoanelor vizate, fără ca acestea din urmă să fi fost informate în prealabil cu privire la transmitere și cu privire la prelucrare.

87.

Având în vedere toate considerațiile de mai sus, propunem Curții să răspundă la întrebările preliminare adresate de Curtea de Apel Cluj după cum urmează: