Cerere de decizie preliminară introdusă de Cour d’appel de Bruxelles (Belgia) la 10 decembrie 2025 – État belge/Autorité de protection des données

(Cauza C-804/25, Autorité de protection des données)

(C/2026/2199)

Limba de procedură: franceza

Instanța de trimitere

Cour d’appel de Bruxelles

Părțile din procedura principală

Reclamant: État belge

Parte adversă: Autorité de protection des données

Celelalte părți din procedură: JC, Accidental Americans Association of Belgium (AAAB)

Întrebările preliminare

Un acord internațional încheiat de un stat membru înainte de 24 mai 2016 care implică transferul de date cu caracter personal către o țară terță respectă, în raport cu articolul 96 din Regulamentul (UE) 2016/679 din 27 aprilie 2016 al Parlamentului European și al Consiliului privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date (RGPD) (1), dreptul Uniunii astfel cum era aplicabil înainte de 24 mai 2016 și, mai precis, articolul 6 alineatul (1) literele (b), (c) și (e) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (2) coroborat, dacă este cazul, cu articolele 7, 8 și 52 din Carta drepturilor fundamentale, în măsura în care acest acord prevede, în scopuri fiscale și pentru a asigura respectarea normelor fiscale internaționale și punerea în aplicare a obligațiilor rezultate din Legea americană FATCA privind combaterea evaziunii fiscale a resortisanților americani, transferul automat, cu respectarea normelor de confidențialitate, către această țară terță, al informațiilor referitoare la conturile financiare ale tuturor resortisanților acestui stat [informații care în practică includ, printre altele, numele, adresa, numărul de identificare fiscală (NIF) atribuit titularului de cont de către statul său de reședință, data nașterii, numărul de cont, soldul sau valoarea înregistrată în cont la sfârșitul anului calendaristic în cauză sau al unei alte perioade de raportare adecvate, anumite date în cazul unui cont de titluri de valoare, al unui cont de depozit sau al unui alt tip de cont], fără selectarea prealabilă a conturilor care prezintă un risc de evaziune fiscală, fără limitarea în timp a stocării datelor prevăzută în acest acord, pragul de 50 000 USD prevăzut în anexa I fiind condiționat de voința instituțiilor financiare?

2)	Un astfel de acord poate fi justificat în temeiul articolului 26 alineatul (1) litera (d) din Directiva 95/46/CE menționată dacă statul terț în cauză nu garantează reciprocitatea efectivă?

Articolul 26 alineatul (2) din Directiva 95/46/CE menționată coroborat cu articolele 7, 8 și 52 din Carta drepturilor fundamentale trebuie interpretat în sensul că garanțiile suficiente prevăzute de această dispoziție:

—	vizează în special menționarea perioadei de păstrare a datelor în sensul articolului 6 alineatul (1) litera (e) din directivă și drepturile la informare prevăzute la articolele 10 și 11 din aceasta?

—	includ definirea domeniului de aplicare al restricției privind dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal?

—	trebuie, în cazul unei convenții care prevede transferul de date cu caracter personal, să fie preluate în mod explicit în această convenție?

În cazul unui răspuns afirmativ la a treia întrebare, total sau parțial, un acord internațional încheiat de un stat membru înainte de 24 mai 2016 care implică transferul de date cu caracter personal către o țară terță respectă, în raport cu articolul 96 din RGPD, dreptul Uniunii astfel cum era aplicabil înainte de 24 mai 2016 și, mai precis, articolul 26 alineatul (2) din Directiva 95/46/CE menționată coroborat, dacă este cazul, cu articolele 7, 8 și 52 din Carta drepturilor fundamentale, în cazul în care acesta nu prevede explicit garanțiile suficiente prevăzute de această dispoziție?

În cazul unui răspuns afirmativ la prima și/sau la a doua și/sau la a patra întrebare, transferul de date cu caracter personal efectuat în temeiul acestui acord internațional trebuie totuși să respecte, începând cu 24 mai 2018, dispozițiile RGPD în ceea ce privește aspectele care nu sunt vizate sau excluse în mod specific de acest acord și, în special, articolul 5 alineatul (2) și articolele 12, 14, 24 și 35 din acesta?

6)	Sarcina probei condițiilor prevăzute la articolul 96 din RGPD revine operatorului?

Articolul 96 din RGPD, analizat individual sau coroborat cu articolul 4 alineatul (3) din Tratatul privind Uniunea Europeană, cu articolul 351 din Tratatul privind funcționarea Uniunii Europene și cu articolele 7, 8 și 52 din Carta drepturilor fundamentale trebuie interpretat în sensul că statele membre au obligația de a depune toate eforturile pentru a modifica, a înlocui sau a revoca tratatele internaționale la care sunt părți care nu respectă dispozițiile acestui regulament?

Un stat membru care, în anul 2025, nu ar fi depus toate eforturile pentru a modifica, a înlocui sau a revoca un tratat internațional la care este parte care nu respectă dispozițiile RGPD poate invoca articolul 96 din regulamentul menționat pentru a justifica un comportament incompatibil cu acest regulament?

În cazul unui răspuns negativ la prima, la a doua sau la a patra întrebare:

a.	un astfel de acord trebuie să fie înlăturat din oficiu de instanța națională?

b.	instanța națională trebuie să verifice conformitatea unui astfel de acord cu RGPD?

În cazul unui răspuns negativ la prima, la a doua sau la a patra întrebare și al unui răspuns afirmativ la a opta întrebare litera b), un acord internațional astfel cum este descris în prima întrebare respectă RGPD și, mai precis, articolul 5 alineatul (1) literele (b) și (c) coroborat, dacă este cazul, cu articolele 7, 8 și 52 din Carta drepturilor fundamentale?

10)

Decizia de punere în aplicare (UE) 2023/1795 a Comisiei din 10 iulie 2023 de constatare, în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, a nivelului adecvat de protecție a datelor cu caracter personal asigurat de Cadrul UE-SUA privind confidențialitatea datelor (3) constituie o decizie de adecvare în sensul articolului 45 alineatul (3) din RGPD în ceea ce privește transferurile de date în litigiu care sunt realizate în scopuri fiscale?

11)

În cazul unui răspuns negativ la prima, la a doua sau la a patra întrebare și al unui răspuns afirmativ la a opta întrebare litera b), articolul 46 din RGPD trebuie interpretat în sensul că:

—

garanțiile adecvate la care face referire acesta vizează toate sau o parte din următoarele garanții: (1) definițiile noțiunilor de bază (care includ următoarele noțiuni: „date cu caracter personal”, „prelucrarea datelor cu caracter personal”, „operator”, „persoană împuternicită de operator”, „destinatar” și „date sensibile”) (2), principiile de bază în materie de protecție a datelor [printre care principiul „limitărilor legate de scop”, al „exactității”, al „reducerii la minimum” (sau al proporționalității) și al limitării în timp a stocării datelor] (3) drepturile persoanelor vizate (în special dreptul la informare, dreptul de acces, dreptul la rectificare, dreptul la ștergerea datelor, dreptul la restricționare sau dreptul la opoziție, dreptul de a nu face obiectul unui proces decizional individual automatizat în sensul articolului 22 din RGPD, precum și modalitățile de exercitare a acestor drepturi) (4) restricționarea transferului ulterior și a schimbului de date (5) căile de atac efective, (6) mecanismele de control și (7) principiul responsabilității?

—	aceste garanții trebuie să fie preluate în mod explicit în instrumentul juridic obligatoriu menționat la articolul 46 alineatul (2) litera (a) din RGPD?

—	acest instrument juridic obligatoriu este, în cazul în care există un tratat care reglementează transferurile de date cu caracter personal către țări terțe, numai acest tratat sau poate include instrumentul său național de transpunere?

12)

În cazul unui răspuns negativ la prima, la a doua sau la a patra întrebare și al unui răspuns afirmativ la a opta întrebare litera b):

articolul 49 alineatul (1) litera (d) din RGPD trebuie interpretat în sensul că permite sau că interzice un acord internațional care implică transferul de date cu caracter personal către o țară terță, care prevede, în scopuri fiscale, transferul automat către această țară terță al informațiilor financiare ale tuturor resortisanților acestui stat (astfel cum sunt precizate în prima întrebare)?

b.	Nivelul de reciprocitate a schimburilor de date este un criteriu pertinent pentru a stabili răspunsul la această întrebare?

13)

În cazul unui răspuns negativ la prima, la a doua sau la a patra întrebare și al unui răspuns afirmativ la a opta întrebare litera b):

a.	este posibil ca „informațiile” vizate de exceptarea de la informare prevăzută la articolul 14 alineatul (5) litera (a) din RGPD să fi fost furnizate de operatorii care au obținut datele direct de la persoana vizată?

b.	în acest caz, cui îi revine sarcina de a dovedi că informațiile au fost comunicate, ținând seama în special de articolul 5 alineatul (1) litera (a) și alineatul (2) din RGPD?

(1) JO 2016, L 119, p. 1.

(2) JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10.

(3) – JO 2023, L 231, p. 118.