1. 

До каква степен и по какъв начин е разрешено на публичните институции на държава членка при упражняване на правомощия им на публична власт да споделят личните данни за гражданите, и по-специално данните за техните доходи, които те събират за осъществяване на своите задачи от общ интерес? Това по същество е главният въпрос, който се поставя в рамките на делото в главното производство и който изисква тълкуване от Съда на няколко от разпоредбите на Директива 95/46/ЕО ( 2 ).

2. 

Настоящото дело по-специално е повод Съдът да разгледа условията, които поставя Директива 95/46 за предаване на лични данни от една администрация на друга, като се уточнят задълженията както на публичноправните субекти, които участват в това предаване, така и на националния законодател, който има за задача да уреди тези практики, в частност що се отнася до уведомяването на съответните лица.

3.

Основните разпоредби от Директива 95/46, които изглеждат от значение за разрешаване на спора в главното производство, са членове 7, 10, 11 и 13. Другите релевантни разпоредби ще бъдат цитирани при необходимост в хода на изложението.

4.

Член 7 от Директива 95/46 гласи:

„Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако:

5.

Член 10 от Директива 95/46 гласи:

„Държавите членки предвиждат, че администраторът или неговият представител трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се за самия него, най-малкото следната информация, освен в случаите, когато то вече я притежава:

6.

Член 11 от Директива 95/46 гласи:

„1.   Когато данните не са получени от съответното физическо лице, държавите членки предвиждат, че администраторът или негов представител трябва, при записването на личните данни или ако се предвижда разкриването им на трета страна не по-късно от момента, когато данните се разкриват за пръв път, да предостави на съответното физическо лице най-малко следната информация, освен в случаите, когато то вече я притежава:

2.   Параграф 1 не се прилага в случаите, когато, в частност, при обработка за статистически цели или за целите на историческо или научно изследване, предоставянето на подобна информация се оказва невъзможно или е свързано с прекомерно усилие, или ако записът или разкриването е постановено изрично от закона. В тези случаи държавите членки предоставят подходящи гаранции“.

7.

Член 13, параграф 1 от Директива 95/46 гласи:

„1.   Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на:

8.

От акта за преюдициално запитване е видно, че именно Закон № 95/2006 относно реформата в областта на здравеопазването и Заповед на председателя на Casa Naţională de Asigurări de Sănătate (Национална здравноосигурителна каса) ( 3 ) № 617 от 13 август 2007 г. ( 4 ), издадена в изпълнение на този закон, съставляват правната рамка за определяне на качеството на осигурено лице на румънските граждани, постоянно пребиваващи в страната, както и на чуждестранните граждани и на лицата без гражданство, които са поискали и са получили удължаване на правото си на временно пребиваване или които са с постоянно пребиваване в Румъния, както и на техните задължения за плащане на вноските за здравно осигуряване.

9.

Запитваща юрисдикция уточнява, че тези два акта оправомощават институциите на държавата да предават на CNAS данните, необходими за определяне на качеството на осигурено лице. В това отношение член 315 от Закон № 95/2006 гласи:

„Данните, необходими за [определяне] на качеството на осигурено лице, се предават безплатно на здравноосигурителните каси [от] публичните органи или от други институции, с протокол“.

10.

С протокол от 26 октомври 2007 г. с номер P 5282/26.10.2007/95896/30.10.2007 ( 5 ), Agenţia Naţională de Administrare Fiscală (Националната агенция за управление на данъците) ( 6 ) и CNAS уреждат начините на предаване на съответните данни. В член 4 от него се предвижда:

„След влизане в сила на настоящия протокол [ANAF], чрез подведомствените ѝ специализирани звена, предоставя в електронен формат първоначалната база данни относно:

11.

Жалбоподателите в главното производство са лица, получаващи доходи като самонаети лица, които са били задължени да заплатят своите вноски в Единния национален здравноосигурителен фонд въз основа на акт за невнесени осигурителни вноски, издаден от здравноосигурителната каса на Клуж (Румъния), съставен на базата на предоставените от ANAF на CNAS данни за доходите им.

12.

Пред запитващата юрисдикция посочените жалбоподатели оспорват отделните административни актове, въз основа на които ANAF е предала на CNAS необходимите данни за съставянето на тези актове, по-специално данните относно техните доходи. Те смятат, че предаването на личните им данни от ANAF на CNAS е извършено в нарушение на разпоредбите на Директива 95/46. Въз основа на обикновен вътрешен протокол тези данни са предадени и използвани за цели, различни от целите, за които първоначално са били предадени на CNAS, без изричното съгласие на жалбоподателите и без те да са били предварително уведомени за това.

13.

Запитващата юрисдикция уточнява в това отношение, че румънското законодателство урежда стриктно и ограничително предаването на данните, необходими за установяване на качеството на осигурено лице, а именно идентификационните данни за лицето (фамилно име, лично име, единен граждански номер, постоянен или временен адрес в Румъния), но от тях са изключени данните относно доходите, получени в Румъния.

14.

При тези обстоятелства с определение от 31 март 2014 г. Curtea de Apel Cluj (Апелативен съд, Клуж, Румъния) решава да спре производството и да постави на Съда следните четири преюдициални въпроса:

15.

CNAS, румънското и чешкото правителство, както и Европейската комисия представят писмени становища пред Съда.

16.

Съдът също така е поканил заинтересованите страни, които имат право да представят изявления по смисъла на член 23 от Статута на Съда на Европейския съюз, да изразят становище в съдебното заседание по три въпроса, а именно: относно обхвата на задълженията, произтичащи от членове 10 и 11 от Директива 95/46 за ANAF като орган, предаващ данните, както и за CNAS като получател на тези данни; относно релевантността на член 13 от Директива 95/46 за търсеното от запитващата юрисдикция тълкуване и накрая, относно критериите, въз основа на които протоколът от 26 октомври 2007 г. между CNAS и ANAF може да се приеме като „законодателна мярка“ по смисъла на член 13 от Директива 95/46.

17.

В съдебното заседание, състояло се на 29 април 2015 г., жалбоподателите в главното производство, както и румънското правителство и Комисията, излагат устни становища и отговарят на поставените от Съда въпроси.

18.

Всички заинтересовани страни, представили становища пред Съда, са съгласни да се приеме, че първите три въпроса, поставени от запитващата юрисдикция, свързани с тълкуването на член 124 ДФЕС, трябва да се обявят за недопустими, тъй като тази разпоредба на първичното право няма връзка с предмета на спора в главното производство и не би могла да се приложи към фактическата ситуация в главното производство.

19.

В случая член 124 ДФЕС, който се съдържа в главата на договора, посветена на икономическата и парична политика, забранява всички мерки, предоставящи на държавите членки привилегирован достъп до финансови институции. Целта на тази разпоредба, която подчинява финансовите операции на публичния сектор на дисциплината на пазарния механизъм и по този начин допринася за засилването на бюджетната дисциплина ( 7 ), преследва, наред с член 123 ДФЕС и член 125 ДФЕС, цел с превантивен характер, която е насочена, както Съдът е имал повод да подчертае, към това да се минимизира в рамките на възможното рискът от криза на държавния дълг ( 8 ).

20.

Член 1, параграф 1 от Регламент № 3604/93 определя понятието „мярка, установяваща привилегирован достъп“, като всяка законова или подзаконова разпоредба или всеки друг задължителен правен инструмент, приети при упражняването на правомощията на публичната власт, които или задължават финансовите институции да придобиват или да притежават вземания по-специално на централни администрации, на регионални, местни или други публични власти, на други органи, регулирани от публичното право или на публични предприятия на държавите членки, или предоставят данъчни привилегии, които могат да облагодетелстват единствено финансовите институции, или финансови преимущества, които не съответстват на принципите на пазарна икономика, с цел да бъде окуражено придобиването или притежаването от страна на тези институции на такива вземания.

21.

Съвсем очевидно е, че обсъжданата в главното производство ситуация, и по-точно достъпът на CNAS до събраните от ANAF данни, не би могла да се разглежда като „привилегирован достъп“ на „финансови институции“ ( 9 ), за което впрочем дори и не става въпрос в акта за преюдициално запитване.

22.

От това става явно, че член 124 ДФЕС не може да се приложи към спора в главното производство и че първите три преюдициални въпроса на запитващата юрисдикция следователно трябва да се отхвърлят като недопустими.

23.

Що се отнася до четвъртия въпрос на запитващата юрисдикция, трябва да се отбележи също така, че той е формулиран най-общо, че в него не са посочени конкретните разпоредби на правото на Съюза, чието тълкуване се иска с цел да се разреши спора в главното производство, и че той съдържа само сбито представяне на правната уредба и на фактите в главното производство, поради което може също да се приеме, че следва да се отхвърли като недопустим.

24.

Румънското правителство изтъква в това отношение, че няма никаква връзка между твърдяната от жалбоподателите в главното производство вреда, настъпила от обработването на разглежданите в главното производство данни, и отмяната на административните актове, която се цели в рамките на главното производство.

25.

Несъмнено е точно, че позоваването от запитващата юрисдикция на имуществените вреди, настъпили ретроактивно за лицата, засегнати от предаването на данни, както се оказва при разглеждането по същество на четвъртия въпрос, е ирелевантно за анализа на съвместимостта на националното законодателство с изискванията на Директива 95/46.

26.

Въпреки това от акта за преюдициално запитване става ясно, че четвъртият въпрос се отнася до тълкуването на разпоредби от Директива 95/46. Всъщност запитващата юрисдикция уточнява, че тя търси отговор, от една страна, като се позовава имплицитно на хипотезата по член 11 от Директива 95/46, на въпроса дали обработването от CNAS на лични данни, събрани от ANAF, е извършено при спазване на задълженията за уведомяване, които са ѝ възложени. Тя посочва, че търси отговор, от друга страна, на въпроса дали предаването на лични данни въз основа на протокола от 26 октомври 2007 г. представлява нарушение на задължението на държавата членка да осигури обработването на лични данни в съответствие с разпоредбите на Директива 95/46, като се позовава, отново имплицитно, на член 13 от нея, който разрешава ограничения на гарантираните от тази директива права, доколкото те са предвидени от закона и съчетани със законови гаранции.

27.

По този начин изложението на въпросите, които запитващата юрисдикция си поставя, позволява да се открои в достатъчна степен поставеният от спора в главното производство въпрос за тълкуване на Директива 95/46.

28.

В това отношение следва да се напомни, че съгласно трайно установената съдебна практика отговор на отправен преюдициален въпрос може да бъде отказан само ако е очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или още когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси ( 10 ).

29.

Затова намирам, че четвъртият преюдициален въпрос, поставен от запитващата юрисдикция, е допустим и трябва да бъде разгледан.

30.

С четвъртия си въпрос, след прочит в духа на разясненията, направени в акта за преюдициално запитване и на изложените по-горе разсъждения, запитващата юрисдикция по същество иска да установи дали Директива 95/46 трябва да се тълкува в смисъл, че тя не допуска национална правна уредба, позволяваща на публична институция на държава членка да обработва лични данни, на които тя не е получател, и по-специално данни относно доходите на съответните лица, без те да са дали съгласието си за това и без да са уведомени предварително.

31.

Жалбоподателите в главното производство изтъкват в съдебното заседание, че запитващата юрисдикция иска най-вече да се определи доколко националната административна практика, отразена в конкретния случай в протокола от 26 октомври 2007 г. и състояща се в автоматично и повтарящо се предаване от ANAF на CNAS на лични данни, които са част от данъчните данни на определени категории данъчнозадължени лица (фамилно име, лично име, категории доходи и платени данъци), е съвместима с процедурните изисквания, предвидени в Директива 95/46.

32.

Отговаряйки на въпросите, поставени от Съда, жалбоподателите в главното производство считат, че член 11 от Директива 95/46 е приложим към делото в главното производство. Тази разпоредба определяла задълженията на първичния администратор на личните данни (ANAF) и на вторичния администратор на лични данни (CNAS), в случая задължението за уведомяване на съответните лица по-специално за идентичността на вторичния администратор, за целта на обработката на предаваните данни и за категориите предадени данни. Тези задължения били в тежест главно на вторичния администратор, тъй като трябвало да бъдат изпълнени най-късно в момента, когато данните се разкриват за пръв път.

33.

В това отношение те подчертават, че протоколът от 26 октомври 2007 г. бил непоследователен, тъй като, от една страна, в член 4 от него се предвижда предаване на бази общи данни, които са предмет на периодични промени, а от друга страна, в член 6, параграф 1 от него се предвижда, че данните трябва да се предават индивидуално въз основа на протокол. В реалната национална практика обаче такива протоколи не съществували, а предаването се осъществявало автоматично, в нарушение на процедурните правила.

34.

Те изтъкват също така, че член 13 от Директива 95/46 няма значение за разрешаването на спора в главното производство, доколкото CNAS не разполага с компетентност да определя вноските в здравноосигурителния фонд. Следователно предаването на данните не било необходимо, освен за една малка част от данъчнозадължените лица, за които е било установено задължението за вноски и които не са изпълнили доброволно това свое задължение.

35.

Те подчертават обаче, че ако Съдът приеме за приложим член 13 от Директива 95/46, ANAF и CNAS трябвало да обосноват необходимостта от предаване на съответните данни и следователно да докажат наличието на законодателна мярка, която разрешава да се направи това без съгласието на съответните лица. Такава законодателна мярка обаче не съществувала, а протоколът от 26 октомври 2007 г. не можел да я замести. След като последният не е публикуван в Официален вестник, той не отговарял на изискванията за предвидимост и за правна сигурност и затова не можел да породи действие erga omnes.

36.

В писменото си становище, споделяно в основни линии от CNAS, румънското правителство изтъква, че от една страна, предаването на данни относно доходите на самоосигуряващите се лица между ANAF и CNAS било предвидено от закона и било необходимо, за да може CNAS да изпълнява своите задачи, и от друга страна, че обработването на тези данни било необходимо за спазването на нейното правно задължение по смисъла на член 7 от Директива 95/46. Затова не било необходимо нито съгласието на съответните лица, нито да им се предоставя информация съгласно член 10 или член 11 от Директива 95/46.

37.

В съдебното заседание румънското правителство изтъква обстоятелството, че предаването и обработването на спорните лични данни се включва в задълженията за сътрудничество между публичните институции по силата на Данъчния процесуален кодекс, по-специално на членове 11 и 62 от него. В това отношение протоколът от 26 октомври 2007 г. не съставлявал правно основание за тези задължения, а се ограничавал да уреди начините на предаване на данните от ANAF на CNAS. Следователно тези задължения за предаване на данъчна информация, които биха могли да възникнат само между публични институции и с единствената цел да се определи размерът на дължимия данък и на дължимите вноски, сред които са и здравноосигурителни вноски, имали законна цел за защита на финансовите интереси в съответствие с разпоредбите на член 13, параграф 1, буква д) от Директива 95/46. Затова не се изисквало уведомяването на съответните лица.

38.

Чешкото правителство изтъква основно, че предаването на спорните данни от ANAF на CNAS можело да се извърши без съгласието на съответните лица, в съответствие с член 7, буква д) от Директива 95/46, и без да се налага да им се предоставя информация, като се приложат изключенията, посочени в член 11, параграф 2 и член 13 от същата директива. Впрочем тази директива не съдържала нито една разпоредба, която да изисква предаването на лични данни между публични институции да бъде предвидено специално в обща норма.

39.

В писменото си становище Комисията най-напред подчертава, че разглежданите в конкретния случай данни били лични данни по смисъла на член 2, буква a) от Директива 95/46, че разглежданите две национални институции, а именно ANAF и CNAS можело да бъдат определени като администратори на посочените данни по смисъла на член 2, буква г) от същата директива и че както събирането, така и предаването на тези данни се включвали в „обработването на лични данни“ по смисъла на член 2, буква б) от посочената директива.

40.

В писменото си становище Комисията предлага на Съда да приеме, че членове 6 и 7 от Директива 95/46 трябва да се тълкуват в смисъл, че те допускат предаването на данни относно доходите, предмет на главното производство, когато това предаване се извършва въз основа на ясни и точни законови разпоредби и прилагането му е предвидимо за съответните лица, което трябва да се провери от запитващата юрисдикция.

41.

Все пак Комисията разширява този извод в устното си становище чрез отговорите си на въпросите, формулирани от Съда за съдебното заседание. По същество тя изтъква, че условията, отнасящи се до съгласието и уведомяването на съответните лица, на които комбинираните разпоредби на членове 7, 10, 11 и 13 от Директива 95/46 подчиняват събирането, предаването и обработването на лични данни, не били изпълнени при конкретните обстоятелства по делото в главното производство и че във всички случаи националната правна уредба, и по-специално протоколът от 26 октомври 2007 г. между ANAF и CNAS, не отговаряла на изискванията на член 13 от същата директива, тълкуван в духа на членове 8 и 52 от Хартата на основните права на Европейския съюз (по-нататък „Хартата“) и на член 8 от Европейската конвенция за защита правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 година.

42.

Според Комисията също така Директива 95/46 се основава на принципа, че лицето, чиито лични данни се обработват, трябва да бъде в течение на всяко ограничение на неговите права, произтичащи от Директива 95/46, въз основа на ясни, точни и предвидими разпоредби. Предаването на разглежданите в главното производство данни обаче било извършено въз основа на обикновен протокол за сътрудничество между две институции, основаващ се самият той на разпоредба от Закон № 95/2006, която не отговаряла на тези изисквания за яснота по отношение на данните, необходими за определяне на качеството на осигурено лице.

43.

Разглеждайки отделните въпроси, изискващи устен отговор, поставени от Съда, Комисията подчертава, че както ANAF, така и CNAS е трябвало да предоставят на засегнатите лица информацията, изискуема съответно съгласно членове 10 и 11 от Директива 95/46, тъй като румънското законодателство не отговаряло на изискванията за дерогиране от тези задължения.

44.

В това отношение тя най-напред подчертава, че румънската правна уредба изглежда не отговаря на условията, установени от член 11, параграф 2 от Директива 95/46, по силата на който разпоредбите на параграф 1 от същия член не се прилагат, когато националното законодателство предвижда изрично запис или разкриване на данните, като препраща към националната юрисдикция да изследва този въпрос.

45.

По-нататък тя подчертава, че всяко ограничаване на правото на информация на съответните лица, предвидено от членове 10 и 11 от Директива 95/46, трябва в съответствие с член 13 от тази директива да бъде предвидено в законодателна мярка, да преследва една от целите от общ интерес, които тази разпоредба изброява, и да бъде пропорционално. Румънското законодателство обаче не съдържало никаква мярка, която да предвижда такова дерогиране, доколкото разпоредбата, предвиждаща предаване на данни от ANAF на CNAS, не може да се приеме за разпоредба, посочваща ясно, че засегнатите лица няма да бъдат уведомявани за това.

46.

В това отношение тя отбелязва, че протоколът от 26 октомври 2007 г., подписан между ANAF и CNAS, който урежда предаването на информация между две институции, без обаче да съдържа разпоредби относно уведомяването на съответните лица, не можел да се приеме за законодателна мярка по смисъла на член 13 от Директива 95/46. Ставало въпрос за обикновено двустранно споразумение, непубликувано в официалния вестник, което не пораждало задължително правно действие и не можело да се противопостави на трети лица. В това отношение член 13 от Директива 95/46 отразявал разпоредбите на член 52, параграф 1 от Хартата на основните права и на член 8, параграф 2 от Европейската конвенция за защита правата на човека и основните свободи в специалната област на защита на личните данни и следователно трябвало да се тълкува в духа на съответната практика на Съда и на Европейския Съд по правата на човека.

47.

Във всички случаи и ако се предположи възможността да се приеме, че румънското законодателство съдържа изискуемата законова дерогация, ограничението на задължението за уведомяване на съответните лица трябвало да отговаря на критерия за необходимост и да бъде пропорционално. Ако в това отношение можело да се допусне, от една страна, че функционирането на службата за обществено здравеопазване представлява цел в обществен интерес по смисъла на член 13 от Директива 95/46 и че предаването на данни от ANAF на CNAS допринася за осъществяването на тази цел, от друга страна е трудно да се разбере защо е било необходимо да не се уведомяват съответните лица, след като това уведомяване не може да засегне осъществяването на посочената цел.

48.

За да може да се даде полезен отговор на запитващата юрисдикция, трябва да се започне, като се припомнят основните правила, установени в членове 5—7 и 10—13 от Директива 95/46, които, доколкото уреждат обработването и предаването на лични данни, изглеждат относими за разрешаването на спора в главното производство.

49.

Съгласно член 5 от Директива 95/46 държавите членки трябва да определят по-точно условията, при които обработването на лични данни е законно в границите на разпоредбите на членове 6—21.

50.

Както Съдът многократно напомня, извън допуснатите на основание член 13 от тази директива случаи на дерогиране, че обработването на лични данни трябва да отговаря, от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от посочената директива, и от друга страна, на някой от шестте критерия за законосъобразност на обработването на лични данни, изброени в член 7 от същата директива ( 11 ).

51.

Членове 6 и 7 от тази директива определят също така, доколкото това се отнася до настоящото дело, три първоначални изисквания за събиране и обработване на лични данни.

52.

Администраторът ( 12 ) трябва по-специално да следи личните данни да се събират за конкретни, ясно формулирани и законни цели, да се обработват справедливо и законно и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели ( 13 ).

53.

Член 7 от Директива 95/46 предвижда от своя страна, че обработването на лични данни може да се счита за законно и следователно да се извършва само при условие че отговаря на един от изброените в него хипотези и по-специално, доколкото това се отнася за настоящото дело, ако съответното физическо лице е дало недвусмислено своето съгласие за това ( 14 ) или ако обработването е необходимо за спазването на правно задължение, чийто субект е администраторът ( 15 ) или още ако обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или на трето лице, на което се разкриват данните ( 16 ).

54.

Съдът приема, че тази разпоредба установява изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законно ( 17 ). Той уточнява също така, че предвид целта на Директива 95/46 — да се осигури еднаква степен на защита във всички държави членки — понятието за необходимост, което произтича от член 7, буква д) от тази директива, не може да има различно съдържание в различните държави членки и следователно е самостоятелно понятие в правото на Съюза ( 18 ).

55.

Що се отнася до членове 10 и 11 от Директива 95/46, те определят задълженията на администратора на лични данни, като се прави разлика между случая, когато тези данни са събрани от съответното физическо лице, и случая, когато тези данни не са събрани от съответното физическо лице.

56.

В член 10 от Директива 95/46, във връзка с текста на съображение 38 от нея, се предвижда също така, че лицата, от които администраторът е събрал данните, трябва да могат да научат за съществуването на операция по обработката и да получат точна и пълна информация относно събирането на тези данни, и по-специално, за да може процесът на обработка на данните да бъде справедлив, да получат информация за целите на обработката, за която са предназначени данните, както и информация за получателите или категориите получатели на тези данни, посочени в споменатия член 10, букви б) и в), извън случаите, в които те вече разполагат с тази информация.

57.

В член 11, параграф 1 от Директива 95/46, във връзка с текста на съображения 39 и 40 от тази директива, се предвиждат хипотези, в които обработката се отнася до данни, които не са събрани непосредствено от засегнатите лица, по-специално когато те са съобщени законно на трети лица, дори в случаите, когато това не е било предвидено при събирането им ( 19 ). В тези случаи засегнатите лица трябва да могат да получат от момента на записването на данните или не по-късно от момента, когато данните се разкриват за пръв път, ако се предвижда разкриването им на трета страна, и информация относно целите на обработката, категориите на съответните данни и получателите или категориите получатели на данните, посочени в споменатия член 11, параграф 1, букви б) и в).

58.

Съгласно член 11, параграф 2 от същата директива обаче разпоредбите на параграф 1 от същия член не се прилагат, когато записът или разкриването на данните е предвидено от закона, като в тези случаи държавите трябва да предоставят подходящи гаранции.

59.

Накрая, член 13 от Директива 95/46, озаглавен „Изключения и ограничения“, предвижда, че държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени по-специално в член 6, параграф 1 и член 11, параграф 1 от същата директива, ако подобно ограничаване представлява необходима мярка за гарантиране на важни интереси и по-специално „важни икономически и финансови интереси на държавата членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси“ ( 20 ), или също „функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д)“ от член 13, параграф 1 от тази директива ( 21 ).

60.

С оглед на всички тези разпоредби сега следва да се разгледа спорната ситуация по главното производство.

61.

На първо място, следва да се констатира, че данните, разглеждани в главното производство, предадени от ANAF на CNAS, представляват лични данни по смисъла на член 2, буква a) от Директива 95/46. Всъщност тези данни, които включват собственото и фамилното име на съответните лица ( 22 ), както и данните за размера на доходите им ( 23 ), безспорно представляват „информация, свързана с идентифицирано или подлежащо на идентификация [физическо] лице“. Тяхното предаване от ANAF и обработването им от CNAS имат характер на обработване на лични данни по смисъла на член 2, буква б) от посочената директива.

62.

Безспорно е обаче, че разглежданата в главното производство ситуация попада в приложното поле на Директива 95/46.

63.

Спрямо разглежданата в главното производство ситуация впрочем могат да се приложат както член 10 от Директива 95/46, така и член 11 от нея. Всъщност, а и както произтича от предходните разсъждения, добросъвестното обработване на личните данни на жалбоподателите в главното производство от ANAF включва изискването тя да им предостави информация за предаването на тези данни на CNAS съгласно член 10, буква в) от Директива 95/46. Обработката от CNAS на предадените от ANAF данни обаче включва и изискването на посочените жалбоподатели в главното производство да се предостави информация поне относно целите на обработката, както и относно съответните категории данни съгласно член 11, параграф 1, букви б) и в) от Директива 95/46.

64.

На второ място, трябва да се отбележи, че въпросът на запитващата юрисдикция ( 24 ) не се отнася до обработването от ANAF на разглежданите в главното производство лични данни, по-конкретно до условията за законосъобразност и легитимиране на тази обработка по смисъла на членове 6 и 7 от Директива 95/46.

65.

Става въпрос само за предаване на данни от една публична институция на друга, по-специално за предаването на събрани от ANAF данни на CNAS и за обработването на същите данни от последната — операции, които, от една страна, са извършени при пълна липса на съгласие и на информация за съответните физически лица, и които, от друга страна, са извършени на основание на национална правна уредба, която не отговаря на изискванията на Директива 95/46, в частност на задълженията за предоставяне на информация на съответните физически лица, предвидени в членове 10 и 11 от Директива 95/46.

66.

Четвъртият преюдициален въпрос, поставен от запитващата юрисдикция, който трябва да се разгледа както от гледна точка на задълженията на ANAF, така и от гледна точка на задълженията на CNAS, следователно трябва да се разгледа преди всичко с оглед на разпоредбите на членове 7, 10 и 11 и на Директива 95/46 и на съдържащите се в тях условия за съгласие и за предоставяне на информация на лицата, съответните данни на които са предмет на обработване. Той следва да се разгледа евентуално и с оглед на разпоредбите на член 13 от същата директива, който определя изключенията и ограниченията в обхвата на задълженията и на правата, предвидени по-специално в член 10 и член 11, параграф 1 от същата директива.

67.

Не се спори, че жалбоподателите в главното производство и в по-широка степен, засегнатите лица, чиито лични данни, събрани от ANAF, са били предадени от нея на CNAS и обработвани от последната, от една страна, не са били уведомени от ANAF за това предаване при спазване на изискванията на член 10 от Директива 95/46. Тези лица, от друга страна, също така не са давали съгласие по смисъла на член 7, параграф 1, буква a) от Директива 95/46 за посоченото обработване от CNAS, нито са били уведомени за тази обработка при спазване на разпоредбите на член 11, параграф 1 от същата директива.

68.

Що се отнася до съгласието, изясни се, че както изтъкват румънското правителство и CNAS, за обработването от последната на личните данни на лица, които получават доходи като самонаети лица, се прилагат разпоредбите на член 7, буква д) от Директива 95/46. Затова съгласието на последните в това отношение не се изисква ( 25 ).

69.

Всъщност CNAS в конкретния случай има задължението по силата на Закон № 95/2006 да признае качеството на осигурени лица на лицата, които получават доходи като самонаети лица, качество, чието признаване е в зависимост от това дали те внасят своите здравноосигурителни вноски в териториалните здравноосигурителни каси. Затова обработването от CNAS на предадените от ANAF лични данни на лицата, които получават доходи като самонаети лица, е необходимо за определяне на качеството им като осигурено лице и in fine, за ползването на правата, произтичащи от това качество. Оттук следва, че съгласието на лицата, обработката на личните данни на които се разглежда в главното производство, не се изисква.

70.

Въпреки това запитващата юрисдикция трябва да се убеди, че така предадените и обработвани от CNAS данни отговарят на критерия за необходимост, предвиден от тази разпоредба, като провери, че те не надхвърлят това, което е строго необходимо, за да изпълни CNAS своята задача ( 26 ).

71.

Следователно трябва да се обърне внимание главно на въпроса за спазване на изискванията за уведомяване на лицата, чиито лични данни са предадени от ANAF и тяхното обработване от CNAS при условията, определени от членове 10 и 11 от Директива 95/46.

72.

Както вече в общи линии беше посочено по-горе, може да се приеме, че предаването от ANAF на CNAS на личните данни на лица, които получават доходи като самонаети лица, и обработването на тези данни от последната отговаря на изискванията на Директива 95/46 само при условие че съответните лица са били уведомени съгласно член 10 и член 11, параграф 1 от същата директива.

73.

По-точно държавата членка е длъжна да предвиди необходимите мерки така, че и едната, и другата институция в главното производство, и двете в качеството им на администратори на лични данни, да предоставят на съответните лица изискваната информация, а именно — ANAF на основание член 10 от Директива 95/46, и CNAS — на основание член 11 от същата директива, освен ако в случая записът или разкриването на данните не са били изрично предвидени от закона.

74.

В това отношение е важно да се подчертае, както отбелязва Комисията в съдебното заседание, че това изискване за уведомяване на лицата, чиито лични данни се обработват, което гарантира прозрачност при всяко обработване, е още по-важно, доколкото то е условие за упражняване на правото на достъп до обработваните данни, уредено в член 12 от Директива 95/46, и на правото на възражение срещу обработването на същите данни, установено в член 14 от същата директива.

75.

В конкретния случай не се спори, че жалбоподателите в главното производство не са били официално и индивидуално уведомени от ANAF за предаването на личните им данни на CNAS и специално на данните за доходите им, както се изисква от член 10 от Директива 95/46. Безспорно е също така, че при записа на предадените от ANAF данни CNAS също не им е предоставила данните, посочени в букви a)—в) на член 11, параграф 1 от Директива 95/46.

76.

Румънското правителство обаче изтъква, че по силата на няколко разпоредби от Данъчнопроцесуалния кодекс и на член 315 от закон № 95/2006 ANAF има задължението да предава на териториалните здравноосигурителни каси данните, необходими за определяне на „качеството на осигурено лице“ на лицата, които получават доходи като самонаети лица, и че размерът на дължимите от тези лица вноски се определя само на основата на данните за тези доходи, намиращи се в ANAF, пред която тези лица трябва да подават годишна декларация за доходи.

77.

Все според това правителство законът предвижда задължение за CNAS да обработва личните данни на лицата, които получават доходи като самонаети лица, по-специално за да се започнат процедурите по принудително събиране на невнесените вноски, и ANAF съответно има задължението да предостави необходими за тази цел данни за доходите на тези лица, като се уточнява, че конкретните начини на предаване на въпросните данни между двете национални институции са уредени в протокола от 26 октомври 2007 г., подписан от двете институции, както е предвидено изрично в член 315 от Закон № 95/2006.

78.

В тази насока следва да се отбележи най-напред, че самото обстоятелство, че предаването на спорните данни е осъществено между публични институции в изпълнение на общи задължения за сътрудничество, предвидени от общите разпоредби на Закон № 95/2006 или на Данъчния процесуалния кодекс, не освобождава държавата членка и съответните институции от възложените им от Директива 95/46 задължения за предоставяне на информация.

79.

Във всички случаи не би могло да се приеме, че член 315 от Закон № 95/2006 може да замести предварителното уведомяване на съответните лица по смисъла на член 10 от Директива 95/46. Тази разпоредба всъщност се позовава на данните относно качеството на осигурено лице, без да споменава доходите на съответните лица, така че те не биха могли да се считат за уведомени за предаването на данните относно техните доходи по смисъла на посочения член 10.

80.

Данните за доходите на съответните лица обаче имат значение, което напълно оправдава това, че за предаването им от публичната институция, която ги събира, на друга публична институция трябва да бъде предоставена конкретна информация при спазване на изискванията на член 10 букви б) и в) от Директива 95/46, което не е било направено така по делото в главното производство.

81.

Достигайки до този етап от анализа на положението в главното производство, остава само да се обсъди дали фактът, че не са уведомени съответните лица, може евентуално да попадне в обхвата на разпоредбата на член 13 от Директива 95/46, която разпоредба предвижда възможността държавите членки да установяват изключения и ограничения на обхвата на правата и на задълженията, предвидени в член 10 и член 11, параграф 1 от тази директива, при спазване на гаранции, съответстващи на предвидените в член 52, параграф 1 от Хартата ( 27 ). Тази разпоредба предполага, че такова ограничение на задължението за предоставяне на информация на съответните лица е предвидено в законодателна мярка ( 28 ), оправдано е от цели от общ интерес, изброени в тази разпоредба, и е строго пропорционално на преследваната цел.

82.

В конкретния случай не се оспорва, че предаването от ANAF на необходимите данни за определяне от CNAS на качеството на осигурено лице на лицата, които получават доходи като самонаети лица, както впрочем и обработването на така предадените данни от последната, може да се окаже необходимо за гарантиране на важен икономически и финансов интерес на дадената държава членка в данъчната област по смисъла на член 13, параграф 1, буква д) от Директива 95/46.

83.

Въпреки това нито от акта за преюдициално запитване, нито от писмените и устни становища пред Съда на румънското правителство не произтича, че приложимото национално законодателство по делото в главното производство съдържа законодателни разпоредби, които освобождават ясно и изрично ANAF и/или CNAS от задълженията им за предоставяне на информация.

84.

В тази насока не може да се приеме като основателен изтъкваният от румънското правителство довод, че законовите разпоредби, които задължават ANAF да предава на CNAS необходимите за изпълнението на неговите задачи данни, и протоколът от 26 октомври 2007 г., подписан между двете институции, с който се организира това предаване, представляват „законодателна мярка“ по смисъла на член 13, параграф 1 от Директива 95/46, която да дерогира от задължението на администратора на лични данни за предоставяне на информация.

85.

В действителност протоколът от 26 октомври 2007 г., на който се позовава румънското правителство, както подчертава Комисията, очевидно не отговаря на първото от тези изисквания, тъй като той не може по нищо да бъде приравнен на обща законодателна мярка, надлежно публикувана и противопоставима на засегнатите от предаването на спорните данни лица.

86.

Поради изложеното считам, че на четвъртия въпрос на запитващата юрисдикция следва да се отговори, че Директива 95/46 трябва да се тълкува в смисъл, че тя не допуска национална правна уредба като разглежданата в главното производство, позволяваща на публична институция на държава членка да обработва лични данни, които са ѝ предадени от друга публична институция, и по-специално данни относно доходите на съответните лица, без те да са били предварително уведомени нито за това предаване, нито за това обработване.

87.

С оглед на всички направени по-горе разсъждения предлагам на Съда да отговори на поставените от Curtea de Apel Cluj преюдициални въпроси по следния начин: