1. 

I vilken omfattning och i enlighet med vilka villkor är det tillåtet för de offentliga institutionerna i en medlemsstat att, vid utövandet av sina offentliga maktbefogenheter, utväxla personuppgifter om medborgarna, i synnerhet uppgifter om deras inkomster, som de offentliga institutionerna samlar in för att utföra sina uppdrag av allmänintresse? Detta är i allt väsentligt huvudfrågan i tvisten vid den nationella domstolen, vilken kräver att domstolen tolkar flera bestämmelser i direktiv 95/46/EG ( 2 ).

2. 

Förevarande mål ger närmare bestämt domstolen tillfälle att undersöka de villkor som uppställs i direktiv 95/46 för överföring av personuppgifter från en myndighet till en annan, genom att precisera de skyldigheter som åligger såväl offentliga organ som är inblandade i en sådan överföring som den nationella lagstiftare som ska fastställa ramarna för denna praxis, i synnerhet vad beträffar information till de registrerade.

3.

De viktigaste bestämmelserna i direktiv 95/46, vilka är relevanta för att avgöra tvisten vid den nationella domstolen, är artiklarna 7, 10, 11 och 13. Övriga relevanta bestämmelser kommer vid behov att citeras längre fram i denna framställning.

4.

I artikel 7 i direktiv 95/46 föreskrivs följande:

”Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om

5.

Artikel 10 i direktiv 95/46 har följande lydelse:

”Medlemsstaterna skall föreskriva att den registeransvarige eller hans företrädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informationen:

6.

I artikel 11 i direktiv 95/46 föreskrivs följande:

”1.   Om uppgifterna inte har samlats in från den registrerade, skall medlemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen:

2.   Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder.”

7.

Artikel 13.1 i direktiv 95/46 har följande lydelse:

”1.   Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till

8.

Det framgår av beslutet om hänskjutande att det är lag nr 95/2006 om omorganisation på hälsovårdsområdet och beslut nr 617/2007 av ordföranden för nationella socialförsäkringskassan ( 3 ) av den 13 augusti 2007, ( 4 ) vilket fattades för att genomföra denna lag, som utgör den rättsliga ram som reglerar fastställandet av ställningen som försäkrad person för rumänska medborgare som är bosatta i Rumänien, utländska medborgare och statslösa som har ansökt om och erhållit förlängt tillfälligt uppehållstillstånd eller som är bosatta i Rumänien, och de skyldigheter att betala sjukförsäkringsavgift som åligger nämnda personer.

9.

Den hänskjutande domstolen har angett att dessa två rättsakter ger de statliga institutionerna befogenhet att till CNAS överföra de uppgifter som är nödvändiga för att kunna fastställa ställningen som försäkrad person. I artikel 315 i lag nr 95/2006 föreskrivs följande i det avseendet:

”Myndigheter, offentliga institutioner och andra institutioner ska utan kostnad överföra de uppgifter som är nödvändiga för att fastställa om en enskild person ska anses vara försäkrad till sjukförsäkringskassorna, på grundval av ett protokoll.”

10.

Det är genom ett protokoll som ingicks den 26 oktober 2007, med nummer P 5282/26.10.2007/95896/30.10.2007, ( 5 ) som Agenţia Naţională de Administrare Fiscală (nationella skattemyndigheten) ( 6 ) och CNAS har reglerat villkoren för överföring av relevanta uppgifter. I artikel 4 i protokollet föreskrivs följande:

”Efter ikraftträdandet av detta protokoll ska [ANAF], genom sina särskilda underordnade enheter, i elektroniskt format tillhandahålla den ursprungliga databasen avseende

11.

Klagandena i det nationella målet är personer som uppbär inkomster från eget företagande och som har ålagts att betala avgifter till den gemensamma nationella sjukförsäkringsfonden, genom beslut om avgift som utfärdats av sjukförsäkringskassan i Cluj (Rumänien), vilka upprättades på grundval av uppgifter om deras inkomster som ANAF hade tillhandahållit CNAS.

12.

Klagandena har vid den nationella domstolen ifrågasatt de olika administrativa rättsakter på grundval av vilka ANAF överförde de uppgifter som var nödvändiga för att upprätta dessa beslut till CNAS, i synnerhet uppgifterna om deras inkomster. De anser att ANAF:s överföring av deras personuppgifter till CNAS skedde i strid med bestämmelserna i direktiv 95/46. På grundval av enbart ett internt protokoll överfördes dessa uppgifter och användes för andra syften än de syften för vilka uppgifterna ursprungligen hade lämnats till CNAS, utan klagandenas uttryckliga samtycke och utan att de på förhand informerades om detta.

13.

Den hänskjutande domstolen har i det avseendet angett att det i rumänsk lagstiftning föreskrivs stränga och begränsade bestämmelser om överföring av uppgifter som är nödvändiga för att fastställa om en enskild person ska anses vara försäkrad, det vill säga personuppgifter (efternamn, förnamn, identifikationsnummer och uppgifter om bosättning eller vistelse i Rumänien), vilket således inte omfattar uppgifter om inkomster som uppburits i Rumänien.

14.

Det är mot denna bakgrund som Curtea de Apel Cluj (domstol i andra instans i Cluj, Rumänien), genom beslut av den 31 mars 2014, beslutade att förklara målet vilande och ställa följande fyra tolkningsfrågor till domstolen:

15.

CNAS, den rumänska och den tjeckiska regeringen samt Europeiska kommissionen har inkommit med skriftliga yttranden till domstolen.

16.

Domstolen anmodade dessutom de berörda parter som är behöriga att framföra synpunkter enligt artikel 23 i stadgan för Europeiska unionens domstol att vid förhandlingen ta ställning till tre frågor, nämligen omfattningen av de skyldigheter som enligt artiklarna 10 och 11 i direktiv 95/46 åligger ANAF, i egenskap av den som lämnat de överförda uppgifterna, och CNAS, i egenskap av mottagare av dessa uppgifter, frågan huruvida artikel 13 i direktiv 95/46 är relevant för den tolkning som den hänskjutande domstolen har begärt och slutligen de kriterier på grundval av vilka protokollet av den 26 oktober 2007 mellan CNAS och ANAF skulle kunna utgöra en ”åtgärd genom lagstiftning” i den mening som avses i artikel 13 i direktiv 95/46.

17.

Klagandena i det nationella målet, den rumänska regeringen och kommissionen ingav skriftliga yttranden och besvarade domstolens frågor vid förhandlingen den 29 april 2015.

18.

Samtliga berörda parter som har avgett yttranden vid domstolen är eniga om att de tre första frågor som den hänskjutande domstolen har ställt rörande tolkningen av artikel 124 FEUF ska avvisas, eftersom denna primärrättsliga bestämmelse saknar samband med föremålet för tvisten vid den nationella domstolen och inte kan vara tillämplig på det nationella målet.

19.

Artikel 124 FEUF, vilken ingår i det kapitel i fördraget som rör ekonomisk politik, förbjuder varje åtgärd som ger medlemsstaterna en positiv särbehandling hos finansinstitut. Denna bestämmelse, varigenom den offentliga sektorns finansieringstransaktioner underkastats marknadsdisciplinen och därmed bidrar till att stärka budgetdisciplinen, ( 7 ) eftersträvar, tillsammans med artiklarna 123 FEUF och 125 FEUF, ett mål av förebyggande beskaffenhet som – vilket kommissionen har haft tillfälle att framhålla – avser att så långt möjligt är minska risken för statsskuldskriser. ( 8 )

20.

I artikel 1.1 i förordning nr 3604/93 definieras begreppet ”åtgärd som ger en positiv särbehandling” som varje lagbestämmelse, föreskrift eller annan bindande rättsakt som antagits genom myndighetsutövning, som antingen förpliktar finansinstitut att förvärva eller inneha fordringar på bland annat centralregeringar, regionala eller lokala myndigheter, andra offentliga myndigheter eller andra offentliga organ eller offentliga företag i medlemsstaterna, eller medför skattelättnader som endast finansinstitut kan komma i åtnjutande av eller medför ekonomiska fördelar som inte överensstämmer med marknadsekonomiska principer, för att främja finansinstitutens förvärv eller innehav av sådana fordringar.

21.

Det är uppenbart att den situation som är i fråga i det nationella målet, och närmare bestämt CNAS tillgång till de uppgifter som ANAF har samlat in, inte kan anses utgöra ”positiv särbehandling” hos ”finansinstitut”, ( 9 ) vilket det för övrigt inte ens är fråga om i beslutet om hänskjutande.

22.

Det är följaktligen uppenbart att artikel 124 FEUF inte kan vara tillämplig på tvisten vid den nationella domstolen och att den hänskjutande domstolens tre första frågor följaktligen ska avvisas.

23.

Det ska vidare påpekas att den hänskjutande domstolens fjärde fråga är formulerad i mycket allmänna ordalag, att det i frågan inte anges vilka bestämmelser i unionsrätten som måste tolkas för att avgöra tvisten vid den nationella domstolen och att den endast innehåller en kortfattad redogörelse för de tillämpliga bestämmelserna och bakgrunden till det nationella målet. Det skulle därför även kunna övervägas att avvisa denna fråga.

24.

Den rumänska regeringen har i det avseendet gjort gällande att den inte kan se något samband mellan den skada som klagandena i det nationella målet har gjort gällande, och som följer av behandlingen av de uppgifter som är i fråga i det nationella målet, och ett upphävande av de administrativa rättsakterna, vilket de har framställt yrkande om i det nationella målet.

25.

Det är visserligen riktigt att den hänskjutande domstolens omnämnande av ekonomisk skada som de registrerade retroaktivt har orsakats genom överföringen saknar relevans, såsom framgår av prövningen i sak av den fjärde tolkningsfrågan, vid bedömningen av huruvida den nationella lagstiftningen är förenlig med bestämmelserna i direktiv 95/46.

26.

Det framgår dock klart av beslutet om hänskjutande att den fjärde frågan avser tolkningen av bestämmelserna i direktiv 95/46. Den hänskjutande domstolen har nämligen uppgett att den, med underförstådd hänvisning till den situation som avses i artikel 11 i direktiv 95/46, vill få klarhet i huruvida CNAS:s behandling av de personuppgifter som har samlats in av ANAF har skett i överenstämmelse med den informationsplikt som åligger CNAS. Nämnda domstol har vidare angett att den vill få klarhet i huruvida överföringen av personuppgifter på grundval av protokollet av den 26 oktober 2007 utgör ett åsidosättande av medlemsstatens skyldighet att säkerställa att behandlingen av personuppgifter sker i enlighet med bestämmelserna i direktiv 95/46, genom att återigen underförstått hänvisa till artikel 13 i nämnda direktiv, vilken tillåter begränsningar av de rättigheter som garanteras i direktivet om dessa begränsningar föreskrivs i lag och åtföljs av rättsliga garantier.

27.

Den hänskjutande domstolens redogörelse för sina frågor gör det således möjligt att i tillräcklig utsträckning identifiera den fråga rörande tolkningen av direktiv 95/46 som det nationella målet väcker.

28.

Det följer av fast rättspraxis att en begäran om förhandsavgörande bara kan avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den. ( 10 )

29.

Jag anser följaktligen att den hänskjutande domstolens fjärde tolkningsfråga kan tas upp till sakprövning och ska prövas.

30.

Den hänskjutande domstolen har ställt den fjärde frågan, sedd mot bakgrund av förklaringarna i beslutet om hänskjutande och redogörelserna ovan, för att få klarhet i huruvida direktiv 95/46 ska tolkas så, att det utgör hinder för nationella bestämmelser som tillåter att en offentlig institution i en medlemsstat behandlar personuppgifter som den inte själv är mottagare av, i synnerhet uppgifter om de registrerades inkomster, utan att de registrerade har gett sitt samtycke till detta eller på förhand har informerats om detta.

31.

Klagandena i det nationella målet gjorde vid förhandlingen gällande att den hänskjutande domstolen i huvudsak ville få fastställt i vilken utsträckning nationell förvaltningspraxis, vilken i förevarande fall avspeglas i protokollet av den 26 oktober 2007 och som består i att ANAF automatiskt och ständigt vidarebefordrar personuppgifter, däribland skatteuppgifter, om vissa kategorier av skattskyldiga personer (efternamn, förnamn, inkomstgrupp och betalda skatter) till CNAS, är förenlig med de processuella kraven i direktiv 95/46.

32.

Som svar på domstolens frågor har klagandena uppgett att de anser att artikel 11 i direktiv 95/46 är tillämplig i målet vid den nationella domstolen. I denna bestämmelse fastställs de skyldigheter som åligger den primärt registeransvarige (ANAF) och den sekundärt registeransvarige (CNAS) vid behandling av personuppgifter, i förevarande fall skyldigheten att informera de registrerade om bland annat den sekundärt registeransvariges identitet, målet med behandlingen av de överförda uppgifterna och de kategorier av uppgifter som har överförts. Dessa skyldigheter åligger huvudsakligen den sekundärt registeransvarige och ska fullgöras inte senare än vid den tidpunkt då uppgifterna först lämnas ut.

33.

De har i det avseendet framhållit att protokollet av den 26 oktober 2007 innehåller en motsägelse, eftersom det i artikel 4 i protokollet föreskrivs att allmänna databaser som regelbundet ändras ska överföras, medan det i artikel 6.1 föreskrivs att uppgifterna ska överföras individuellt på grundval av en rapport. I själva verket finns det dock inte några sådana rapporter i nationell praxis, utan överföringarna sker automatiskt i strid med dessa processuella krav.

34.

Klagandena har även gjort gällande att artikel 13 i direktiv 95/46 saknar betydelse för lösningen av tvisten vid den nationella domstolen, eftersom CNAS inte hade behörighet att fastställa avgifterna till sjukförsäkringsfonden. Överföringen av uppgifter var således inte nödvändig, utom för den lilla grupp av skattskyldiga personer som hade fastställts vara skyldiga att betala avgift och som inte hade fullgjort denna skyldighet frivilligt.

35.

De har dock framhållit att om domstolen skulle slå fast att artikel 13 i direktiv 95/46 är tillämplig, åligger det ANAF och CNAS att motivera varför överföringen av de aktuella uppgifterna var nödvändig, och således visa att det finns en åtgärd genom lagstiftning som tillåter en sådan överföring utan de registrerades samtycke. Någon sådan åtgärd genom lagstiftning finns dock inte, då protokollet av den 26 oktober 2007 inte kan betraktas som en sådan. Eftersom protokollet inte har offentliggjorts i författningssamlingen, uppfyller den inte kraven på förutsebarhet och rättssäkerhet och kan följaktligen inte ha en allmängiltig verkan (erga omnes).

36.

Den rumänska regeringen har i sitt skriftliga yttrande, vilket CNAS väsentligen har instämt i, gjort gällande dels att överföringen av upplysningar om inkomster från eget företagande mellan ANAF och CNAS föreskrevs i lag och var nödvändig för fullgörandet av CNAS uppdrag, dels att CNAS:s behandling av dessa upplysningar var nödvändig för att fullgöra en rättslig förpliktelse som åvilade CNAS enligt artikel 7 i direktiv 95/46. Följaktligen var det varken nödvändigt att inhämta de registrerades samtycke eller att informera dessa, enligt artiklarna 10 och 11 i direktiv 95/46.

37.

Vid förhandlingen framhöll den rumänska regeringen att överföringen och behandlingen av de omtvistade personuppgifterna ingick i de samarbetsskyldigheter som åligger de offentliga institutionerna enligt skatteprocesslagen, särskilt artiklarna 11 och 62 i nämnda lag. I det avseendet utgör protokollet av den 26 oktober 2007 inte rättslig grund för dessa skyldigheter, utan det reglerar endast villkoren för överföring av uppgifter från ANAF till CNAS. Dessa skyldigheter att överföra skatteupplysningar, vilka endast kan föreligga mellan offentliga institutioner och enbart i syfte att fastställa storleken på de skatter och avgifter som ska erläggas, däribland avgifterna till sjukförsäkringen, eftersträvar således ett legitimt syfte, nämligen att skydda finansiella intressen, vilket omfattas av bestämmelserna i artikel 13.1 e i direktiv 95/46. Följaktligen var det inte nödvändigt att informera de registrerade.

38.

Den tjeckiska regeringen har i huvudsak gjort gällande att ANAF:s överföring av de omtvistade uppgifterna till CNAS får ske utan de registrerades samtycke enligt artikel 7 e i direktiv 95/46, utan att det är nödvändigt att informera dem om detta, med tillämpning av de undantag som avses i artiklarna 11.2 och 13 i samma direktiv. Dessutom innehåller detta direktiv inte någon bestämmelse som kräver att överföringen av personuppgifter mellan offentliga institutioner särskilt ska föreskrivas i en bestämmelse med allmän giltighet.

39.

Kommissionen har i sitt skriftliga yttrande först framhållit att de uppgifter som är aktuella i det nationella målet utgör personuppgifter i den mening som avses i artikel 2 a i direktiv 95/46, att de två nationella institutioner som är i fråga, nämligen ANAF och CNAS, kan kvalificeras som registeransvariga för dessa uppgifter, i den mening som avses i artikel 2 d i samma direktiv, och att både insamlingen och överföringen av dessa uppgifter kan kvalificeras som ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktivet.

40.

Kommissionen har i sitt skriftliga yttrande även föreslagit att domstolen ska slå fast att artiklarna 6 och 7 i direktiv 95/46 ska tolkas så, att de inte utgör hinder för överföring av sådana inkomstuppgifter som är i fråga i det nationella målet, såvida överföringen sker på grundval av klara och precisa lagbestämmelser, vars tillämpning är förutsebar för de registrerade, vilket det ankommer på den hänskjutande domstolen att bedöma.

41.

Kommissionen utvecklade dock denna slutsats i sina muntliga yttranden, genom sina svar på de frågor inför förhandlingen som domstolen ställde. Den gjorde i huvudsak gällande att de krav vad gäller de registrerades samtycke och information till dessa, vilka uppställs i artiklarna 7, 10, 11 och 13 i direktiv 95/46 för insamling, överföring och behandling av personuppgifter, inte är uppfyllda under de omständigheter som är för handen i det nationella målet och att de nationella bestämmelserna, särskilt protokollet av den 26 oktober 2007 som ingåtts mellan ANAF och CNAS, i vilket fall som helst inte uppfyller kraven i artikel 13 i nämnda direktiv, såsom den tolkas mot bakgrund av artiklarna 8 och 52 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950.

42.

Kommissionen har således gjort gällande att direktiv 95/46 grundar sig på principen att den person som berörs av behandlingen av sina personuppgifter ska, på grundval av klara, precisa och förutsebara lagbestämmelser, få kännedom om varje begränsning av de rättigheter som personen har enligt direktiv 95/46. Den överföring av uppgifter som är i fråga i det nationella målet sker dock på grundval av enbart ett samarbetsprotokoll mellan de två institutionerna, vilket i sig grundar sig på en bestämmelse i lag nr 95/2006 som inte uppfyller kraven på tydlighet, genom att den hänvisar till de uppgifter som är nödvändiga för att kunna fastställa om en enskild person ska anses vara försäkrad.

43.

Vid genomgången av de olika frågor som ska besvaras muntligen och som domstolen har ställt, har kommissionen framhållit att både ANAF och CNAS borde ha gett de registrerade den information som krävs enligt artiklarna 10 och 11 i direktiv 95/46, eftersom den rumänska lagstiftningen inte uppfyller de krav som uppställs för att kunna avvika från dessa skyldigheter.

44.

Kommissionen har i det avseendet framhållit att den rumänska lagstiftningen inte tycks uppfylla villkoren i artikel 11.2 i direktiv 95/46, enligt vilken bestämmelserna i artikel 11.1 inte ska gälla om registrering eller utlämnande uttryckligen föreskrivs i nationell författning, men den har överlåtit på den nationella domstolen att göra denna prövning.

45.

Kommissionen har vidare framhållit att varje inskränkning av de registrerades rätt till information, som föreskrivs i artiklarna 10 och 11 i direktiv 95/46, ska i enlighet med artikel 13 i direktivet ingå i en åtgärd genom lagstiftning, eftersträva ett av de mål av allmänintresse som anges i denna bestämmelse och vara proportionerlig. Den rumänska lagstiftningen innehåller dock inte någon bestämmelse om ett sådant undantag, eftersom bestämmelsen om överföring av uppgifter från ANAF till CNAS inte kan anses utgöra en bestämmelse i vilken det klart anges att de registrerade inte ska informeras i det avseendet.

46.

Kommissionen har i det avseendet påpekat att protokollet av den 26 oktober 2007 som ingicks mellan ANAF och CNAS, vilket reglerar överföringen av upplysningar mellan de två institutionerna, dock utan att innehålla bestämmelser om information till de registrerade, inte kan anses utgöra en åtgärd genom lagstiftning i den mening som avses i artikel 13 i direktiv 95/46. Det rör sig om enbart ett bilateralt avtal, som inte har offentliggjorts i författningssamlingen, som inte har några bindande rättsverkningar och som inte gäller i förhållande till tredje man. Artikel 13 i direktiv 95/46 avspeglar i det avseendet bestämmelserna i artikel 52.1 i stadgan och artikel 8.2 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna på det särskilda området för skydd av personuppgifter och ska följaktligen tolkas mot bakgrund av relevant rättspraxis från EU-domstolen och Europeiska domstolen för de mänskliga rättigheterna.

47.

Även om det antas att den rumänska lagstiftningen kan anses innehålla det lagstadgade undantag som krävs, måste inskränkningen av informationsplikten gentemot de registrerade under alla omständigheter uppfylla nödvändighetskriteriet och vara proportionerlig. I det avseendet kan det visserligen medges att det offentliga sjukförsäkringssystemets funktion utgör ett mål av allmänintresse enligt artikel 13 i direktiv 95/46 och att överföringen av uppgifter från ANAF till CNAS bidrar till att uppnå detta mål. Det är däremot svårare att förstå varför det är nödvändigt att underlåta att informera de registrerade, då denna information inte kan inverka menligt på förverkligandet av detta mål.

48.

För att kunna ge den hänskjutande domstolen ett användbart svar ska det först erinras om de viktigaste reglerna som uppställs i artiklarna 5–7 och 10–13 i direktiv 95/46, vilka är relevanta för att avgöra tvisten i det nationella målet eftersom de reglerar behandling och överföring av personuppgifter.

49.

Enligt artikel 5 i direktiv 95/46 åligger det medlemsstaterna att precisera på vilka villkor behandling av personuppgifter är tillåten, inom de begränsningar som bestämmelserna i artiklarna 6–21 i direktivet innebär.

50.

Såsom domstolen upprepade gånger har påpekat ska, med förbehåll för de undantag som får göras enligt artikel 13 i direktiv 95/46, all behandling av personuppgifter dels stå i överensstämmelse med de principer om uppgifternas kvalitet som anges i artikel 6 i detta direktiv, dels svara mot någon av de principer som gör att uppgiftsbehandlingen kan tillåtas, vilka anges i artikel 7 i direktivet. ( 11 )

51.

I artiklarna 6 och 7 i direktivet fastställs således, såvitt avser förevarande mål, tre primära krav vad gäller insamling och behandling av personuppgifter.

52.

Den registeransvarige ( 12 ) ska bland annat se till att personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål, att de behandlas på ett korrekt och lagligt sätt och att senare behandling inte sker på ett sätt som är oförenligt med dessa ändamål. ( 13 )

53.

I artikel 7 i direktiv 95/46 föreskrivs att behandling av personuppgifter kan anses vara tillåtet och således får ske endast om den motsvarar ett av de fall som anges i denna artikel och särskilt, vad beträffar förevarande mål, om den registrerade otvetydigt har lämnat sitt samtycke i det avseendet, ( 14 ) eller om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, ( 15 ) eller om behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut. ( 16 )

54.

Domstolen har slagit fast att det i denna bestämmelse görs en uttömmande uppräkning av de situationer där en behandling av personuppgifter kan anses vara tillåten. ( 17 ) Domstolen har även angett att med beaktande av målet med direktiv 95/46 – att göra skyddsnivån likvärdig i alla medlemsstater – kan begreppet nödvändighet, såsom det följer av artikel 7 e i direktivet, inte förstås olika från medlemsstat till medlemsstat och det utgör således ett självständigt unionsrättsligt begrepp. ( 18 )

55.

I artiklarna 10 och 11 i direktiv 95/46 fastställs den informationsplikt som åligger den registeransvarige, genom att det görs åtskillnad mellan det fall då uppgifterna har samlats in från den registrerade och det fall då uppgifterna inte har samlats in från den registrerade.

56.

I artikel 10 i direktiv 95/46, jämförd med skäl 38 i direktivet, föreskrivs således att de personer från vilka den registeransvarige har samlat in uppgifter, ska, om de inte har informerats på annat sätt, kunna få kännedom om behandlingen och få korrekt och fullständig information om insamlingen och särskilt – för att behandlingen ska kunna anses vara korrekt – information om ändamålen med den behandling för vilken uppgifterna är avsedda och information om mottagarna eller de kategorier som mottar uppgifterna, i enlighet med artikel 10 b och c.

57.

Artikel 11.1 i direktiv 95/46, jämförd med skälen 39 och 40 i direktivet, avser de fall då behandlingen rör uppgifter som inte har samlats in från de registrerade, särskilt när uppgifterna har lämnats ut till tredje man på tillåtet sätt, även om utlämnandet inte kunde förutses när uppgifterna samlades in. ( 19 ) I dessa fall ska de registrerade, om de inte har informerats på annat sätt, vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, också få information om bland annat ändamålen med behandlingen, de kategorier av uppgifter som behandlingen gäller och mottagarna eller de kategorier som mottar uppgifterna, i enlighet med artikel 11.1 b och c.

58.

Enligt artikel 11.2 i direktivet ska dock bestämmelserna i artikel 11.1 inte gälla bland annat om registrering eller utlämnande av uppgifter föreskrivs i lag. I sådana fall ska medlemsstaterna föreskriva lämpliga skyddsåtgärder.

59.

I artikel 13 i direktiv 95/46, med rubriken ”Undantag och begränsningar”, föreskrivs slutligen att medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges bland annat i artiklarna 6.1 och 11.1 i direktivet, i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till överordnade intressen, bland annat ”ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor”, ( 20 ) eller ”en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen” i artikel 13.1 i direktivet. ( 21 )

60.

Situationen i det nationella målet ska nu bedömas mot bakgrund av samtliga dessa bestämmelser.

61.

Det ska först konstateras att de uppgifter som är i fråga i det nationella målet, och som ANAF överförde till CNAS, utgör personuppgifter i den mening som avses i artikel 2 a i direktiv 95/46. Dessa uppgifter, vilka omfattar i synnerhet de registrerades för- och efternamn ( 22 ) samt information om deras inkomster, ( 23 ) utgör otvivelaktigt ”upplysningar som avser en identifierad eller identifierbar fysisk person”. ANAF:s överföring av dessa uppgifter och CNAS:s behandling av dessa har karaktär av en behandling av personuppgifter i den mening som avses i artikel 2 b i direktivet.

62.

Det är för övrigt ostridigt att den situation som är i fråga i det nationella målet omfattas av tillämpningsområdet för direktiv 95/46.

63.

Den situation som är i fråga i det nationella målet kan dessutom omfattas av såväl artikel 10 i direktiv 95/46 som artikel 11 i samma direktiv. Som framgår av det ovan anförda förutsatte nämligen en korrekt behandling av klagandenas personuppgifter från ANAF:s sida att denna myndighet informerade dem bland annat om överföringen av dessa uppgifter till CNAS, i enlighet med artikel 10 c i direktiv 95/46. Vidare förutsatte CNAS:s behandling av de uppgifter som överförts av ANAF att klagandena åtminstone informerades om ändamålen med behandlingen och om de kategorier av uppgifter som behandlingen gäller, i enlighet med artikel 11.1 b och c i direktiv 95/46.

64.

Det ska därefter påpekas att den hänskjutande domstolens fråga ( 24 ) inte avser ANAF:s behandling av de personuppgifter som är i fråga i det nationella målet, närmare bestämt villkoren för att behandlingen ska vara laglig och tillåten, enligt artiklarna 6 och 7 i direktiv 95/46.

65.

Frågan avser endast överföringen av uppgifter från en offentlig institution till en annan, närmare bestämt överföringen av de uppgifter som hade samlats in av ANAF till CNAS, och CNAS:s behandling av dessa uppgifter, åtgärder som dels vidtogs utan någon form av samtycke från eller information till de registrerade, dels utfördes med tillämpning av nationella bestämmelser som inte uppfyller kraven i direktiv 95/46, i synnerhet den informationsplikt gentemot de registrerade som föreskrivs i artiklarna 10 och 11 i direktiv 95/46.

66.

Den hänskjutande domstolens fjärde fråga, vilken ska bedömas både med beaktande av de skyldigheter som åligger ANAF och de skyldigheter som åligger CNAS, ska således huvudsakligen bedömas på grundval av bestämmelserna i artiklarna 7, 10 och 11 i direktiv 95/46 och de villkor för samtycke och information till de registrerade, som berörs av behandlingen av de aktuella uppgifterna, som dessa bestämmelser innehåller. Frågan ska i förekommande fall även bedömas på grundval av bestämmelserna i artikel 13 i direktivet, vilken fastställer undantagen och begränsningarna av omfattningen av de skyldigheter och rättigheter som anges i bland annat artiklarna 10 och 11.1 i direktivet.

67.

Det är ostridigt att klagandena i det nationella målet och mer allmänt de personer som berörs av ANAF:s överföring av de personuppgifter som denna myndighet har samlat in till CNAS och av CNAS:s behandling av dessa uppgifter, inte har informerats av ANAF om denna överföring, i enlighet med bestämmelserna i artikel 10 i direktiv 95/46. Dessa personer har inte heller formellt samtyckt, enligt artikel 7.1 a i direktiv 95/46, till CNAS:s behandling eller informerats om denna behandling i enlighet med bestämmelserna i artikel 11.1 i direktivet.

68.

Vad beträffar samtycke framgår det, såsom den rumänska regeringen och CNAS har gjort gällande, klart att CNAS:s behandling av personuppgifter rörande personer som uppbär inkomster från eget företagande omfattas av artikel 7 e i direktiv 95/46. Följaktligen krävdes det inte något samtycke från dessa personer i det avseendet. ( 25 )

69.

CNAS har nämligen i förevarande fall en skyldighet, enligt lag nr 95/2006, att fastställa huruvida personer som uppbär inkomster från eget företagande ska anses vara försäkrade, då erkännandet av en sådan ställning utgör en förutsättning för att dessa personer ska betala sjukförsäkringsavgifter till de lokala sjukförsäkringskassorna. CNAS:s behandling av de personuppgifter rörande personer som uppbär inkomster från eget företagande som ANAF överför till myndigheten är således nödvändig för att fastställa huruvida de ska anses vara försäkrade och slutligen för att erhålla de rättigheter som följer av denna ställning. Härav följer att det inte krävdes något samtycke från de personer som berördes av behandlingen av de personuppgifter som är i fråga i det nationella målet.

70.

Det ankommer dock på den hänskjutande domstolen att förvissa sig om att de uppgifter som på så sätt har överförts och behandlats av CNAS uppfyller nödvändighetskriteriet i denna bestämmelse, genom att kontrollera att de inte går utöver vad som är strikt nödvändigt för att CNAS ska kunna utföra sitt uppdrag. ( 26 )

71.

Det är således särskilt frågan huruvida kraven på information till de personer som berörs av ANAF:s överföring av personuppgifter och av CNAS:s behandling av dessa uppgifter har iakttagits, i enlighet med villkoren i artiklarna 10 och 11 i direktiv 95/46, som bör uppmärksammas.

72.

Såsom redan har antytts ovan, kan ANAF:s överföring av personuppgifter rörande personer som uppbär inkomster från eget företagande till CNAS, och CNAS:s behandling av dessa uppgifter, endast anses uppfylla kraven i direktiv 95/46 om de registrerade informerades om detta i enlighet med artiklarna 10 och 11.1 i direktivet.

73.

Det ankom närmare bestämt på medlemsstaten att föreskriva nödvändiga åtgärder för att båda dessa två institutioner, vilka båda ansvarar för behandlingen av de personuppgifter som är i fråga i det nationella målet, skulle lämna erforderlig information till de registrerade, det vill säga ANAF enligt artikel 10 i direktiv 95/46 och CNAS enligt artikel 11 i samma direktiv, såvida inte, i det sistnämnda fallet, registrering eller utlämnande av uppgifter föreskrevs i lag.

74.

Såsom kommissionen påpekade vid förhandlingen, är det i det avseendet viktigt att framhålla att kravet på information till de registrerade vars personuppgifter behandlas, vilket säkerställer insyn i varje behandling, är av särskilt stor betydelse eftersom det utgör en förutsättning för att de berörda personerna ska kunna utöva sin rätt till tillgång till de behandlade uppgifterna, vilken avses i artikel 12 i direktiv 95/46, och deras rätt att göra invändningar mot behandlingen av dessa uppgifter, vilken fastställs i artikel 14 i direktivet.

75.

I förevarande fall är det ostridigt att ANAF inte formellt och individuellt informerade klagandena i det nationella målet om överföringen av deras personuppgifter till CNAS, och i synnerhet uppgifter om deras inkomster, vilket krävs enligt artikel 10 i direktiv 95/46. Det är likaså ostridigt att CNAS, vid registreringen av de uppgifter som överfördes av ANAF, inte gav klagandena den information som anges i artikel 11.1 a–c i direktiv 95/46.

76.

Den rumänska regeringen har dock gjort gällande att ANAF, enligt flera bestämmelser i skatteprocesslagen och artikel 315 i lag nr 95/2006, är skyldig att till de lokala sjukförsäkringskassorna överföra den information som är nödvändig för att CNAS ska kunna fastställa huruvida personer som uppbär inkomster från eget företagande har ”ställningen som försäkrad person” och att storleken på de avgifter som dessa personer ska betala endast kan fastställas på grundval av de upplysningar om dessa inkomster som ANAF har tillgång till, genom att nämnda personer årligen ska inge en inkomstdeklaration till ANAF.

77.

Enligt den rumänska regeringen föreskrivs det således i lag en skyldighet för CNAS att behandla personuppgifter rörande personer som uppbär inkomster från eget företagande, bland annat för att inleda förfaranden för indrivning av obetalda avgifter, och ANAF har en motsvarande skyldighet att tillhandahålla den information om personernas inkomster som krävs för det syftet. De konkreta villkoren för överföringen av den aktuella informationen mellan de båda nationella institutionerna regleras av protokollet av den 26 oktober 2007 som ingåtts av de båda institutionerna, vilket uttryckligen föreskrivs i artikel 315 i lag nr 95/2006.

78.

Det ska i det avseendet först och främst påpekas att den omständigheten att överföringen av de omtvistade uppgifterna sker mellan offentliga institutioner för att fullgöra allmänna samarbetsskyldigheter som föreskrivs i de allmänna bestämmelserna i lag nr 95/2006 eller i skatteprocesslagen, inte i sig kan befria medlemsstaten och de berörda institutionerna från den informationsplikt som åligger dem enligt direktiv 95/46.

79.

Det kan under alla omständigheter inte anses att artikel 315 i lag nr 95/2006 kan ersätta förhandsinformationen till de registrerade enligt artikel 10 i direktiv 95/46. Denna bestämmelse hänvisar nämligen till information om ställningen som försäkrad person, utan att på något sätt omnämna de registrerades inkomster, vilket gör att de registrerade inte kan anses vara informerade om överföringen av uppgifter om deras inkomster enligt artikel 10.

80.

Uppgifterna om de registrerades inkomster har emellertid sådan betydelse att det är helt befogat att överföringen av dessa från den offentliga institution som har samlat in dessa till en annan offentlig institution blir föremål för särskild information i enlighet med bestämmelserna i artikel 10 b och c i direktiv 95/46, vilket inte skedde i det nationella målet.

81.

I detta skede av analysen av situationen i det nationella målet återstår det således endast att pröva huruvida avsaknaden av information till de registrerade alternativt kan omfattas av artikel 13 i direktiv 95/46, en bestämmelse som föreskriver en möjlighet för medlemsstaterna att införa undantag och begränsningar av omfattningen av de rättigheter och skyldigheter som anges bland annat i artiklarna 10 och 11.1 i direktivet, med beaktande av garantier motsvarande de som föreskrivs i artikel 52.1 i stadgan. ( 27 ) Denna bestämmelse medför att en sådan begränsning av informationsplikten gentemot de registrerade föreskrivs i en åtgärd genom lagstiftning, ( 28 ) att den är motiverad av ett av de mål av allmänintresse som anges i denna bestämmelse och att den står i strikt proportion till det eftersträvade målet.

82.

Det har i förevarande fall inte bestritts att ANAF:s överföring av de uppgifter som är nödvändiga för att CNAS ska kunna fastställa huruvida personer som uppbär inkomster från eget företagande ska anses vara försäkrade, liksom för övrigt CNAS:s behandling av den överförda informationen, skulle kunna visa sig vara nödvändiga med hänsyn till ett viktigt ekonomiskt eller finansiellt intresse i skattefrågor i den berörda medlemsstaten, i den mening som avses i artikel 13.1 e i direktiv 95/46.

83.

Det framgår dock varken av beslutet om hänskjutande eller av de skriftliga och muntliga yttranden som den rumänska regeringen har avgett vid domstolen att den nationella lagstiftning som är tillämplig i det nationella målet innehåller lagbestämmelser som klart och uttryckligen undantar ANAF och/eller CNAS från deras informationsplikt.

84.

Den rumänska regeringen har anfört att de lagbestämmelser som ålägger ANAF att till CNAS överföra de uppgifter som är nödvändiga för att CNAS ska kunna fullgöra sitt uppdrag och protokollet av den 26 oktober 2007, som ingåtts mellan de två institutioner som organiserar överföringen, utgör den ”åtgärd genom lagstiftning” som krävs enligt artikel 13.1 i direktiv 95/46, för att avvika från den informationsplikt som åligger dem som ansvarar för behandlingen av personuppgifter. Detta argument kan inte godtas i det avseendet.

85.

Såsom kommissionen har framhållit, är det nämligen uppenbart att protokollet av den 26 oktober 2007 som har åberopats av den rumänska regeringen inte uppfyller det första av dessa krav, eftersom det inte på något sätt kan likställas med en åtgärd genom lagstiftning som har allmän giltighet, som har offentliggjorts i vederbörlig ordning och som gäller i förhållande till de personer som berörs av överföringen av de omtvistade uppgifterna.

86.

Jag anser följaktligen att den hänskjutande domstolens fjärde fråga ska besvaras enligt följande. Direktiv 95/46 ska tolkas så, att det utgör hinder för sådana nationella bestämmelser som dem som är i fråga i det nationella målet, vilka tillåter att en offentlig institution i en medlemsstat behandlar personuppgifter som en annan offentlig institution har överfört till den, i synnerhet uppgifter om de registrerades inkomster, utan att de registrerade på förhand har informerats om denna överföring eller behandling.

87.

Mot bakgrund av det ovan anförda föreslår jag att domstolen besvarar de tolkningsfrågor som Curtea de Apel Cluj har ställt på följande sätt: