1. 

Dans quelle mesure et suivant quelles modalités les institutions publiques d’un État membre sont‑elles autorisées, dans le cadre de l’exercice de leurs prérogatives de puissance publique, à se partager les données personnelles de leurs administrés, et notamment celles afférentes à leurs revenus, qu’elles recueillent aux fins de la poursuite de leurs missions d’intérêt général? Telle est, en substance, la principale question qui se pose dans le cadre du litige au principal et qui appelle l’interprétation par la Cour de plusieurs dispositions de la directive 95/46/CE ( 2 ).

2. 

La présente affaire fournit plus précisément à la Cour l’occasion d’examiner les conditions auxquelles la directive 95/46 subordonne la transmission de données personnelles d’une administration à une autre, en précisant les obligations qui pèsent tant sur les personnes publiques impliquées dans un tel transfert que sur le législateur national appelé à encadrer ces pratiques, en particulier en ce qui concerne l’information des personnes concernées.

3.

Les principales dispositions de la directive 95/46 qui apparaissent pertinentes pour la résolution du litige au principal sont les articles 7, 10, 11 et 13. Les autres dispositions pertinentes seront citées en tant que de besoin dans le cours des développements.

4.

L’article 7 de la directive 95/46 dispose:

«Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si:

5.

L’article 10 de la directive 95/46 énonce:

«Les États membres prévoient que le responsable du traitement ou son représentant doit fournir à la personne auprès de laquelle il collecte des données la concernant au moins les informations énumérées ci‑dessous, sauf si la personne en est déjà informée:

6.

L’article 11 de la directive 95/46 dispose:

«1.   Lorsque les données n’ont pas été collectées auprès de la personne concernée, les États membres prévoient que le responsable du traitement ou son représentant doit, dès l’enregistrement des données ou, si une communication de données à un tiers est envisagée, au plus tard lors de la première communication de données, fournir à la personne concernée au moins les informations énumérées ci‑dessous, sauf si la personne en est déjà informée:

2.   Le paragraphe 1 ne s’applique pas lorsque, en particulier pour un traitement à finalité statistique ou de recherche historique ou scientifique, l’information de la personne concernée se révèle impossible ou implique des efforts disproportionnés ou si la législation prévoit expressément l’enregistrement ou la communication des données. Dans ces cas, les États membres prévoient des garanties appropriées.»

7.

L’article 13, paragraphe 1, de la directive 95/46 énonce:

«1.   Les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus à l’article 6 paragraphe 1, à l’article 10, à l’article 11 paragraphe 1 et aux articles 12 et 21, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder:

8.

Il ressort de la décision de renvoi que ce sont la loi no 95/2006, concernant la réforme dans le domaine de la santé et l’arrêté du président de la Caisse nationale de sécurité sociale ( 3 ) no 617/2007 du 13 août 2007 ( 4 ), pris en exécution de cette loi, qui constituent le cadre juridique réglementant l’établissement de la qualité d’assuré des citoyens roumains ayant leur domicile à l’intérieur du pays, des citoyens étrangers et des apatrides qui ont demandé et obtenu la prolongation de leur droit de séjour temporaire ou qui ont leur domicile en Roumanie et les obligations de versement de la contribution d’assurance maladie leur incombant.

9.

La juridiction de renvoi précise que ces deux actes habilitent les institutions de l’État à transmettre à la CNAS les informations nécessaires à l’établissement de cette qualité d’assuré. L’article 315 de la loi no 95/2006 dispose à cet égard:

«Les données nécessaires aux fins d’établir la qualité d’assuré sont transmises gratuitement aux caisses d’assurance maladie par les autorités, les institutions publiques et d’autres institutions, sur la base d’un protocole.»

10.

C’est par un protocole conclu le 26 octobre 2007, portant le numéro P 5282/26.10.2007/95896/30.10.2007 ( 5 ), que la Agenţia Naţională de Administrare Fiscală (Agence nationale d’administration fiscale) ( 6 ) et la CNAS ont réglé les modalités de transmission des données pertinentes. Son article 4 prévoit:

«Après l’entrée en vigueur du présent protocole, l’[ANAF], par l’intermédiaire de ses unités spécialisées subordonnées, transmettra, sous forme électronique, la base de données initiale concernant:

11.

Les requérants au principal sont des personnes tirant leurs revenus d’activités indépendantes qui ont été appelées à verser leur contribution au Fonds national unique d’assurance‑maladie, par avis d’imposition émis par la caisse d’assurance maladie de Cluj (Roumanie), lesquels ont été établis sur la base de données concernant leurs revenus fournis à la CNAS par l’ANAF.

12.

Lesdits requérants contestent devant la juridiction de renvoi les différents actes administratifs sur le fondement desquels l’ANAF a transmis à la CNAS les données nécessaires à l’établissement de ces avis, en particulier celles relatives à leurs revenus. Ils estiment que le transfert par l’ANAF de leurs données personnelles à la CNAS est intervenu en méconnaissance des dispositions de la directive 95/46. Ces données auraient été, sur la base d’un simple protocole interne, transmises et utilisées à des fins autres que celles pour lesquelles elles avaient été initialement communiquées à la CNAS, sans le consentement exprès des requérants et sans qu’ils n’en aient été préalablement informés.

13.

La juridiction de renvoi précise, à cet égard, que la législation roumaine prévoit de manière stricte et limitative la transmission des données nécessaires à l’établissement de la qualité d’assuré, c’est‑à‑dire les données d’identification de la personne (nom, prénom, numéro d’identification, domicile ou résidence en Roumanie), à l’exclusion donc des données relatives aux revenus perçus en Roumanie.

14.

C’est dans ce contexte que, par ordonnance du 31 mars 2014, la Curtea de Apel Cluj (cour d’appel de Cluj, Roumanie) a décidé de surseoir à statuer et de poser à la Cour les quatre questions préjudicielles suivantes:

15.

La CNAS, les gouvernements roumain et tchèque ainsi que la Commission européenne ont présenté des observations écrites à la Cour.

16.

La Cour a, par ailleurs, invité les intéressés habilités à présenter des observations au sens de l’article 23 du statut de la Cour de justice de l’Union européenne à prendre position lors de l’audience sur trois points, savoir sur l’étendue des obligations qui incombent, au titre des articles 10 et 11 de la directive 95/46, à l’ANAF, en tant qu’émetteur des données transférées ainsi qu’à la CNAS, en tant que destinataire de ces données, sur la pertinence de l’article 13 de la directive 95/46 aux fins de l’interprétation sollicitée par la juridiction de renvoi et, enfin, sur les critères sur la base desquels le protocole du 26 octobre 2007 entre la CNAS et l’ANAF pourraient constituer une «mesure législative» au sens de l’article 13 de la directive 95/46.

17.

Les requérants au principal, le gouvernement roumain et la Commission ont présenté des observations orales et ont répondu aux questions formulées par la Cour au cours de l’audience publique qui s’est tenue le 29 avril 2015.

18.

Tous les intéressés ayant présenté des observations à la Cour s’accordent pour considérer que les trois premières questions posées par la juridiction de renvoi, concernant l’interprétation de l’article 124 TFUE, doivent être déclarées irrecevables, dans la mesure où cette disposition du droit primaire est sans rapport avec l’objet du litige au principal et ne saurait trouver à s’appliquer à l’affaire au principal.

19.

En l’occurrence, l’article 124 TFUE, qui fait partie du chapitre du traité relatif à la politique économique, interdit toutes mesures accordant aux États membres un accès privilégié aux institutions financières. Cette disposition, qui soumet les opérations de financement du secteur public à la discipline du marché et contribue ainsi à renforcer la discipline budgétaire ( 7 ), poursuit, conjointement avec les articles 123 TFUE et 125 TFUE, un objectif de nature préventive visant, comme la Cour a eu l’occasion de le souligner, à réduire autant que possible le risque de crises de la dette souveraine ( 8 ).

20.

L’article 1er, paragraphe 1, du règlement no 3604/93 définit la notion de «mesure établissant un accès privilégié» comme étant toute disposition législative ou réglementaire ou tout acte juridique de nature contraignante pris dans l’exercice de l’autorité publique qui soit oblige des institutions financières à acquérir ou à détenir des créances sur, notamment, des administrations centrales, des autorités régionales ou locales, d’autres autorités publiques ou d’autres organismes ou entreprises publics des États membres, soit octroie des avantages fiscaux dont peuvent bénéficier uniquement les institutions financières ou des avantages financiers non conformes aux principes d’une économie de marché, afin de favoriser l’acquisition ou la détention par ces institutions de telles créances.

21.

De toute évidence, la situation en cause au principal et, plus précisément, l’accès de la CNAS aux données collectées par l’ANAF, ne saurait s’analyser dans les termes d’un «accès privilégié» aux «institutions financières» ( 9 ), dont il n’est d’ailleurs pas même question dans la décision de renvoi.

22.

Il est, dès lors, manifeste que l’article 124 TFUE ne peut trouver à s’appliquer au litige au principal et que les trois premières questions de la juridiction de renvoi doivent, par conséquent, être rejetées comme étant irrecevables.

23.

Il doit, par ailleurs, être relevé, pour ce qui est de la quatrième question de la juridiction de renvoi, qu’elle est formulée dans des termes très généraux, qu’elle ne mentionne pas les dispositions du droit de l’Union dont l’interprétation est requise aux fins de la résolution du litige au principal et qu’elle ne comporte qu’une présentation succincte du cadre juridique et factuel du litige au principal, de sorte qu’il pourrait également être envisagé de la rejeter comme étant irrecevable.

24.

Le gouvernement roumain a fait valoir, à cet égard, qu’il ne voyait aucun lien entre le préjudice invoqué par les requérants au principal, résultant du traitement des données en cause au principal, et l’annulation des actes administratifs qu’ils poursuivent dans le cadre de la procédure au principal.

25.

Il est, certes, exact que la mention par la juridiction de renvoi des préjudices patrimoniaux rétroactivement causés aux personnes concernées par la transmission est, ainsi qu’il ressort de l’examen au fond de sa quatrième question, sans pertinence aux fins de l’examen de la compatibilité de la législation nationale avec les prescriptions de la directive 95/46.

26.

Toutefois, il ressort clairement de la décision de renvoi que la quatrième question porte sur l’interprétation des dispositions de la directive 95/46. En effet, la juridiction de renvoi précise qu’elle se demande, d’une part, en se référant implicitement à la situation visée par l’article 11 de la directive 95/46, si le traitement par la CNAS des données personnelles collectées par l’ANAF est intervenu dans le respect des obligations d’information lui incombant. Elle indique qu’elle se demande, d’autre part, si la transmission des données personnelles sur la base du protocole du 26 octobre 2007 constitue une violation de l’obligation pesant sur l’État membre de garantir le traitement des données à caractère personnel en conformité avec les dispositions de la directive 95/46, en se référant, là encore implicitement, à son article 13, qui autorise des restrictions aux droits garantis par cette directive dans la mesure où elles sont prévues par la loi et assorties de garanties légales.

27.

L’exposé par la juridiction de renvoi de ses interrogations permet ainsi d’identifier à suffisance la question d’interprétation de la directive 95/46 que soulève le litige au principal.

28.

Il importe, à cet égard de rappeler que, conformément à une jurisprudence bien établie, le refus de répondre à une question préjudicielle n’est possible que lorsqu’il apparaît de manière manifeste que l’interprétation du droit de l’Union sollicitée n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées ( 10 ).

29.

J’estime, par conséquent, que la quatrième question préjudicielle posée par la juridiction de renvoi est recevable et doit être examinée.

30.

Par sa quatrième question, lue à la lumière des explications fournies dans la décision de renvoi et des développements qui précèdent, la juridiction de renvoi se demande, en substance, si la directive 95/46 doit être interprétée en ce sens qu’elle s’oppose à une réglementation nationale qui permet à une institution publique d’un État membre de traiter des données personnelles dont elle n’était pas destinataire, et notamment les données afférentes aux revenus des personnes concernées, sans que ces dernières n’aient ni donné leur consentement à cet égard ni été préalablement informées.

31.

Les requérants au principal ont fait valoir, au cours de l’audience, que la juridiction de renvoi cherchait essentiellement à déterminer dans quelle mesure la pratique administrative nationale, reflétée en l’occurrence dans le protocole du 26 octobre 2007 et consistant pour l’ANAF à transmettre à la CNAS, de façon automatique et répétitive, les données personnelles, dont font partie les données fiscales, de certaines catégories de contribuables (nom, prénom, catégories de revenus et impôts payés), est compatible avec les exigences d’ordre procédural prévues par la directive 95/46.

32.

Répondant aux questions posées par la Cour, les requérants au principal estiment que c’est l’article 11 de la directive 95/46 qui trouve à s’appliquer dans l’affaire au principal. Cette disposition définirait les obligations pesant sur le responsable primaire (l’ANAF) et sur le responsable secondaire (la CNAS) du traitement des données personnelles, en l’occurrence l’obligation de communiquer aux personnes concernées, notamment, l’identité du responsable du traitement secondaire, le but du traitement des données transmises et les catégories de données transmises. C’est principalement sur le responsable du traitement secondaire que pèseraient ces obligations, ces dernières devant être accomplies au plus tard à la date de la première communication des données.

33.

Ils soulignent, à cet égard, que le protocole du 26 octobre 2007 comporte une incohérence, dans la mesure où, d’une part, son article 4 prévoirait la transmission de bases de données générales faisant l’objet de modifications périodiques, alors que, d’autre part, son article 6, paragraphe 1, prévoirait que les données doivent être transmises individuellement sur la base d’un procès‑verbal. Or, dans la réalité de la pratique nationale, de tels procès‑verbaux n’existeraient pas, les transferts intervenant de manière automatique en méconnaissance de ces exigences procédurales.

34.

Ils font valoir, par ailleurs, que l’article 13 de la directive 95/46 est sans incidence sur la solution du litige au principal, dans la mesure où la CNAS ne disposait pas de la compétence pour établir les contributions au fonds d’assurance maladie. La transmission des données n’était donc pas nécessaire, sauf pour la petite catégorie de contribuables pour lesquels avait été établie l’obligation de contribution et qui n’avaient pas exécuté volontairement cette obligation.

35.

Ils soulignent, toutefois que, si la Cour devait estimer que l’article 13 de la directive 95/46 est applicable, il appartiendrait alors à l’ANAF et à la CNAS de justifier la nécessité de la transmission des données en cause, et donc d’établir l’existence d’une mesure législative l’autorisant en l’absence du consentement des personnes concernées. Or, une telle mesure législative n’existerait pas, le protocole du 26 octobre 2007 ne pouvant en tenir lieu. Ce dernier n’ayant pas été publié au Journal officiel, il ne répondrait pas aux exigences de prévisibilité et de sécurité juridique et ne saurait, partant, produire d’effet erga omnes.

36.

Le gouvernement roumain a, dans ses observations écrites, essentiellement partagées par la CNAS, fait valoir que, d’une part, la transmission des informations sur les revenus d’activités indépendantes entre l’ANAF et la CNAS était prévue par la loi et nécessaire à l’accomplissement par la CNAS de sa mission et, d’autre part, le traitement par cette dernière de ces informations était nécessaire au respect d’une obligation légale à laquelle elle était soumise au sens de l’article 7 de la directive 95/46. Par conséquent, ni le consentement des personnes concernées ni l’information de ces dernières, au titre de l’article 10 comme de l’article 11 de la directive 95/46, ne seraient requis.

37.

Au cours de l’audience, le gouvernement roumain a insisté sur le fait que la transmission et le traitement des données personnelles litigieuses s’inscrivaient dans le cadre des obligations de collaboration pesant sur les institutions publiques en vertu du code de procédure fiscale, en particulier ses articles 11 et 62. À cet égard, le protocole du 26 octobre 2007 ne constituerait pas la base juridique de ces obligations, mais se bornerait à réglementer les modalités de transmission des données de l’ANAF à la CNAS. Ces obligations de transmission d’informations fiscales, qui ne pourraient intervenir qu’entre institutions publiques et dans le seul but de définir le montant de l’impôt et des contributions dues, parmi lesquelles les cotisations à l’assurance maladie, poursuivraient donc un objectif légitime de protection des intérêts financiers relevant des dispositions de l’article 13, paragraphe 1, sous e), de la directive 95/46. Par conséquent, l’information des personnes concernées ne serait pas requise.

38.

Le gouvernement tchèque fait principalement valoir que la transmission par l’ANAF des données litigieuses à la CNAS peut intervenir sans le consentement des personnes concernées, en vertu de l’article 7, sous e), de la directive 95/46 et sans qu’il soit besoin de les en informer, en application des exceptions visées aux articles 11, paragraphe 2, et 13 de la même directive. Par ailleurs, cette directive ne comporterait aucune disposition imposant que la transmission de données personnelles entre institutions publiques soit spécifiquement prévue par une disposition de portée générale.

39.

La Commission a, tout d’abord, souligné, dans ses observations écrites, que les données en cause dans l’affaire au principal sont des données personnelles au sens de l’article 2, sous a), de la directive 95/46, que les deux institutions nationales en cause, à savoir l’ANAF et la CNAS, peuvent être qualifiées de responsables du traitement desdites données, au sens de l’article 2, sous d), de la même directive, et que tant la collecte que la transmission de ces données relèvent de la qualification de «traitement de données à caractère personnel» au sens de l’article 2, sous b), de ladite directive.

40.

Dans ses observations écrites toujours, la Commission a proposé à la Cour de dire pour droit que les articles 6 et 7 de la directive 95/46 doivent être interprétés en ce sens qu’ils ne s’opposent pas à la transmission des données concernant les revenus en cause au principal, pour autant que cette transmission soit effectuée sur la base de dispositions légales claires et précises et dont l’application est prévisible pour les personnes concernées, ce qu’il appartient à la juridiction de renvoi de vérifier.

41.

La Commission a toutefois étoffé cette conclusion dans ses observations orales, à travers ses réponses aux questions pour l’audience formulées par la Cour. Elle a, en substance, fait valoir que les conditions tenant au consentement et à l’information des personnes concernées, auxquelles les dispositions combinées des articles 7, 10, 11 et 13 de la directive 95/46 soumettent la collecte, la transmission et le traitement de données personnelles, ne sont pas remplies dans les circonstances de l’affaire au principal et que, en tout état de cause, la réglementation nationale, et en particulier le protocole du 26 octobre 2007 conclu entre l’ANAF et la CNAS, ne répond pas aux exigences de l’article 13 de cette directive, tel qu’interprété à la lumière des articles 8 et 52 de la charte des droits fondamentaux de l’Union européenne (ci‑après la «Charte») et de l’article 8 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950.

42.

La Commission fait ainsi valoir que la directive 95/46 est fondée sur le principe que la personne concernée par le traitement de ses données personnelles doit avoir connaissance, sur le fondement de dispositions légales claires, précises et prévisibles, de toute limitation aux droits qu’elle tire de la directive 95/46. Or, la transmission des données en cause au principal interviendrait sur la base d’un simple protocole de coopération entre les deux institutions, lui‑même fondé sur une disposition de la loi no 95/2006 qui, en se référant aux données nécessaires pour établir la qualité d’assuré, ne répondrait pas à ces exigences de clarté.

43.

Examinant les différentes questions appelant une réponse orale posées par la Cour, la Commission souligne que tant l’ANAF que la CNAS auraient dû fournir aux personnes concernées les informations respectivement requises par les articles 10 et 11 de la directive 95/46, la législation roumaine ne remplissant pas les exigences requises pour qu’il puisse être dérogé à ces obligations.

44.

Elle souligne, à cet égard, tout d’abord, que la réglementation roumaine ne semble pas remplir les conditions fixées par l’article 11, paragraphe 2, de la directive 95/46, en vertu duquel les dispositions de son paragraphe 1 ne s’appliquent pas lorsque la législation nationale prévoit expressément l’enregistrement ou la communication des données, renvoyant cependant cet examen à la juridiction nationale

45.

Elle souligne, ensuite, que toute restriction au droit à l’information des personnes concernées, prévu aux articles 10 et 11 de la directive 95/46, doit, conformément à l’article 13 de cette directive, être comprise dans une mesure législative, poursuivre l’un des objectifs d’intérêt général que cette disposition énumère et être proportionnée. Or, la législation roumaine ne comporterait aucune mesure prévoyant une telle dérogation, la disposition prévoyant la transmission des données de l’ANAF à la CNAS ne pouvant être considérée comme une disposition indiquant clairement que les personnes concernées ne seront pas informées à cet égard.

46.

Elle fait observer, à cet égard, que le protocole du 26 octobre 2007 conclu entre l’ANAF et la CNAS, qui règle la transmission des informations entre les deux institutions sans toutefois comporter de dispositions relatives à l’information des personnes concernées, ne saurait être considéré comme une mesure législative au sens de l’article 13 de la directive 95/46. Il s’agirait d’un simple accord bilatéral, non publié au Journal officiel, qui ne produirait pas d’effets juridiques obligatoires et ne serait pas opposable aux tiers. L’article 13 de la directive 95/46 refléterait, à cet égard, les dispositions de l’article 52, paragraphe 1, de la Charte et de l’article 8, paragraphe 2, de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales dans le domaine spécifique de la protection des données personnelles et devrait donc être interprété à la lumière de la jurisprudence pertinente de la Cour et de la Cour européenne des droits de l’homme.

47.

En tout état de cause, et à supposer qu’il puisse être considéré que la législation roumaine comporte bien la dérogation légale requise, il faudrait que la restriction à l’obligation d’information des personnes concernées réponde au critère de nécessité et soit proportionnée. Si, à cet égard, il peut être admis, d’une part, que le fonctionnement du service public d’assurance maladie constitue bien un objectif d’intérêt général au sens de l’article 13 de la directive 95/46 et que la transmission des données de l’ANAF à la CNAS concourt à la réalisation de cet objectif, il est, en revanche, difficile de comprendre en quoi il serait nécessaire d’omettre d’informer les personnes concernées, cette information n’étant pas susceptible de porter atteinte à la réalisation dudit objectif.

48.

Il convient, afin d’être en mesure d’apporter une réponse utile à la juridiction de renvoi, de commencer par rappeler les principales règles posées par les articles 5 à 7 et 10 à 13 de la directive 95/46 qui, dans la mesure où elles régissent le traitement et la transmission de données personnelles, apparaissent comme pertinentes aux fins de la résolution du litige au principal.

49.

Conformément à l’article 5 de la directive 95/46, il incombe aux États membres de préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites, dans les limites des dispositions de ses articles 6 à 21.

50.

Ainsi que la Cour l’a itérativement rappelé, sous réserve des dérogations admises au titre de l’article 13 de la directive 95/46, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes relatifs à la qualité des données, énoncés à l’article 6 de ladite directive, et, d’autre part, répondre à l’un des principes relatifs à la légitimation des traitements de données énumérés à l’article 7 de cette même directive ( 11 ).

51.

Les articles 6 et 7 de cette directive définissent ainsi, pour ce qui concerne la présente affaire, trois premières exigences pesant sur la collecte et le traitement des données personnelles.

52.

Le responsable du traitement ( 12 ) doit, notamment, veiller à ce que les données personnelles soient collectées pour des finalités déterminées, explicites et légitimes, soient traitées loyalement et licitement et ne soient pas traitées ultérieurement de manière incompatible avec ces finalités ( 13 ).

53.

L’article 7 de la directive 95/46 prévoit, pour sa part, qu’un traitement de données à caractère personnel ne peut être considéré comme légitime, et donc effectué, qu’à la condition de correspondre à l’un des cas de figure qu’il énumère, et notamment, pour ce qui concerne la présente affaire, si la personne concernée a indubitablement donné son consentement à cet égard ( 14 ), ou s’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ( 15 ) ou encore s’il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées ( 16 ).

54.

La Cour a jugé que cette disposition établissait une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite ( 17 ). Elle a également précisé que, eu égard à l’objectif de la directive 95/46 consistant à assurer un niveau de protection équivalent dans tous les États membres, la notion de nécessité telle qu’elle résulte de l’article 7, sous e), de cette directive ne saurait avoir un contenu variable en fonction des États membres et constitue donc une notion autonome du droit de l’Union ( 18 ).

55.

Les articles 10 et 11 de la directive 95/46 définissent quant à eux les obligations d’information pesant sur le responsable du traitement de données personnelles, en distinguant le cas dans lequel ces données sont collectées auprès de la personne concernée de celui dans lequel ces données ne sont pas collectées auprès de la personne concernée.

56.

L’article 10 de la directive 95/46, lu à la lumière du considérant 38 de celle‑ci, prévoit ainsi que les personnes auprès desquelles le responsable du traitement des données a collecté ces dernières doivent, à moins qu’elles ne soient par ailleurs informées, pouvoir connaître l’existence des traitements et bénéficier d’une information effective et complète concernant cette collecte, et, notamment, afin que ce traitement puisse être considéré comme loyal, des informations relatives aux finalités du traitement auquel les données sont destinées ainsi qu’aux destinataires ou aux catégories de destinataires de ces données, visées audit article 10, sous b) et c).

57.

L’article 11, paragraphe 1, de la directive 95/46, lu à la lumière des considérants 39 et 40 de cette directive, envisage les hypothèses dans lesquelles le traitement porte sur des données qui n’ont pas été collectées auprès des personnes concernées, notamment lorsqu’elles ont été légitimement communiquées à un tiers alors que cette communication n’était pas prévue au moment de leur collecte ( 19 ). Dans ces cas, les personnes concernées doivent, à moins qu’elles ne soient par ailleurs informées, également bénéficier, dès l’enregistrement des données ou au plus tard lors de la première communication des données lorsqu’une communication à un tiers est envisagée, des informations relatives, notamment, aux finalités du traitement, aux catégories de données concernées et aux destinataires ou aux catégories de destinataires des données, visées audit article 11, paragraphe 1, sous b) et c).

58.

Toutefois, conformément à l’article 11, paragraphe 2, de cette même directive, les dispositions de son paragraphe 1 ne s’appliquent pas lorsque, notamment, l’enregistrement ou la communication des données est prévue par la loi, les États membres devant alors prévoir des garanties appropriées.

59.

L’article 13 de la directive 95/46, intitulé «Exceptions et limitations», prévoit, enfin, que les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus, notamment, aux articles 6, paragraphe 1, et 11 paragraphe 1, de ladite directive, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder des intérêts supérieurs et, notamment, «un intérêt économique ou financier important d’un État membre ou de l’Union européenne, y compris dans les domaines monétaire, budgétaire et fiscal» ( 20 ), ou encore «une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e)» de l’article 13, paragraphe 1, de cette directive ( 21 ).

60.

C’est au regard de l’ensemble de ces dispositions qu’il convient maintenant d’examiner la situation en cause au principal.

61.

Il convient de constater, en premier lieu, que les données en cause dans l’affaire au principal, transmises par l’ANAF à la CNAS, constituent des données à caractère personnel au sens de l’article 2, sous a), de la directive 95/46. En effet, ces données, qui comprennent en particulier le nom et le prénom des personnes concernées ( 22 ) ainsi que des informations sur leurs revenus ( 23 ), constituent incontestablement des «informations concernant une personne physique identifiée ou identifiable». Leur transmission par l’ANAF et leur traitement par la CNAS présentent le caractère d’un traitement de données à caractère personnel au sens de l’article 2, sous b), de ladite directive.

62.

Il n’est, du reste, pas contesté que la situation en cause au principal relève bien du champ d’application de la directive 95/46.

63.

La situation en cause au principal est, par ailleurs, susceptible de relever tant de l’article 10 de la directive 95/46 que l’article 11 de celle‑ci. En effet, et ainsi qu’il ressort des développements qui précèdent, le traitement loyal par l’ANAF des données personnelles des requérants au principal impliquait que cette dernière les informât, notamment, de la transmission de ces données à la CNAS, conformément à l’article 10, sous c), de la directive 95/46. Par ailleurs, le traitement par la CNAS des données transmises par l’ANAF impliquait également que lesdits requérants fussent à tout le moins informés des finalités dudit traitement ainsi que des catégories de données concernées, conformément à l’article 11, paragraphe 1, sous b) et sous c), de la directive 95/46.

64.

Il doit, en second lieu, être relevé que la question de la juridiction de renvoi ( 24 ) ne porte pas sur le traitement par l’ANAF des données personnelles en cause au principal, plus précisément sur les conditions de licéité et de légitimation de ce traitement, au sens des articles 6 et 7 de la directive 95/46.

65.

La question ne porte que sur la transmission des données d’une institution publique à une autre, plus précisément sur la transmission des données collectées par l’ANAF à la CNAS et le traitement desdites données par cette dernière, opérations qui seraient, d’une part, intervenues en l’absence de tout consentement et de toute information des personnes concernées et auraient, d’autre part, été accomplies en application d’une réglementation nationale ne répondant pas aux exigences de la directive 95/46, tout spécialement aux obligations d’information des personnes concernées prévues aux articles 10 et 11 de la directive 95/46.

66.

La quatrième question posée par la juridiction de renvoi, qui doit être examinée tant du point de vue des obligations pesant sur l’ANAF que de celles pesant sur la CNAS, doit donc l’être essentiellement au regard, tout d’abord, des dispositions des articles 7, 10 et 11 de la directive 95/46 et des conditions de consentement et d’information des personnes concernées par le traitement des données en cause qu’elles comportent. Elle devra également l’être, le cas échéant, au regard des dispositions de l’article 13 de la même directive, qui définit les exceptions et les limitations à la portée des obligations et des droits prévus notamment aux articles 10 et 11, paragraphe 1, de cette même directive.

67.

Il est constant que les requérants au principal et, plus largement, les personnes concernées par la transmission par l’ANAF des données personnelles qu’elle collecte à la CNAS et le traitement desdites données par cette dernière n’ont, d’une part, pas été informés de cette transmission par l’ANAF, dans le respect des prescriptions de l’article 10 de la directive 95/46. Ces personnes n’ont, par ailleurs et d’autre part, pas formellement consenti, au sens de l’article 7, paragraphe 1, sous a), de la directive 95/46, audit traitement par la CNAS, ni été informées dudit traitement dans le respect des dispositions de l’article 11, paragraphe 1, de cette même directive.

68.

Pour ce qui est du consentement, il apparaît clairement que, comme l’ont fait valoir le gouvernement roumain et la CNAS, le traitement par cette dernière des données personnelles des personnes tirant des revenus d’activités indépendantes relève des dispositions de l’article 7, sous e), de la directive 95/46. Par conséquent, le consentement de ces dernières à cet égard n’était donc pas requis ( 25 ).

69.

En effet, la CNAS a, en l’occurrence, l’obligation, en vertu de la loi no 95/2006, d’établir la qualité d’assuré des personnes tirant des revenus d’activités indépendantes, qualité dont la reconnaissance est subordonnée au versement par celles‑ci de leurs contributions d’assurance maladie aux caisses territoriales d’assurance maladie. Le traitement par la CNAS des données personnelles des personnes tirant des revenus d’activités indépendantes qui lui sont transmises par l’ANAF est, ainsi, nécessaire à l’établissement de leur qualité d’assuré et, in fine, au bénéfice des droits découlant de cette qualité. Il s’ensuit que le consentement des personnes concernées par le traitement des données personnelles en cause au principal n’était pas requis.

70.

Il appartient toutefois à la juridiction de renvoi de s’assurer que les données ainsi transmises et traitées par la CNAS répondent au critère de nécessité prévu à cette disposition, en vérifiant qu’elles n’excèdent pas ce qui est strictement nécessaire à la réalisation par la CNAS de sa mission ( 26 ).

71.

C’est donc essentiellement la question du respect des exigences d’information des personnes concernées par la transmission par l’ANAF des données personnelles et leur traitement par la CNAS, dans les conditions fixées par les articles 10 et 11 de la directive 95/46, qui doit retenir l’attention.

72.

Ainsi que cela a déjà été esquissé ci‑dessus, la transmission par l’ANAF des données personnelles des personnes tirant des revenus d’activités indépendantes à la CNAS et le traitement par cette dernière desdites données ne peuvent être considérés comme répondant aux exigences de la directive 95/46 qu’à la condition que les personnes concernées en aient été informées conformément aux articles 10 et 11, paragraphe 1, de cette même directive.

73.

Il appartenait, plus précisément, à l’État membre de prévoir les mesures nécessaires pour que l’une et l’autre de ces deux institutions, toutes deux responsables du traitement des données personnelles en cause au principal, communiquent aux personnes concernées les informations requises, à savoir l’ANAF au titre de l’article 10 de la directive 95/46 et la CNAS au titre de l’article 11 de cette même directive, à moins que, dans ce dernier cas, l’enregistrement ou la communication des données n’aient été prévus par la loi.

74.

Il importe de souligner à cet égard que, comme l’a relevé la Commission au cours de l’audience, cette exigence d’information des personnes concernées par le traitement de leurs données personnelles, qui garantit la transparence de tout traitement, est d’autant plus importante qu’elle conditionne l’exercice par les intéressés de leur droit d’accès aux données traitées, visé à l’article 12 de la directive 95/46, et de leur droit d’opposition au traitement desdites données, défini à l’article 14 de la même directive.

75.

Il est, en l’occurrence, constant que les requérants au principal n’ont pas été formellement et individuellement informés par l’ANAF de la transmission de leurs données personnelles à la CNAS, et en particulier des données relatives à leurs revenus, comme le requiert l’article 10 de la directive 95/46. Il est tout aussi constant que la CNAS ne leur a pas non plus fourni, lors de l’enregistrement des données transmises par l’ANAF, les informations listées à l’article 11, paragraphe 1, sous a) à c), de la directive 95/46.

76.

Le gouvernement roumain a cependant fait valoir que l’ANAF a, en vertu de plusieurs dispositions du code de procédure fiscale et de l’article 315 de la loi no 95/2006, l’obligation de transmettre aux caisses territoriales d’assurance maladie les informations nécessaires à l’établissement par la CNAS de la «qualité d’assuré» des personnes tirant des revenus d’activités indépendantes et que le montant des contributions dues par ces dernières ne peut être déterminé que sur la base des informations sur lesdits revenus détenues par l’ANAF, auprès de laquelle lesdites personnes doivent déposer une déclaration de revenu annuelle.

77.

La loi prévoirait ainsi, toujours selon ce gouvernement, une obligation pour la CNAS de traiter les données personnelles des personnes tirant des revenus d’activités indépendantes, notamment pour engager les procédures de recouvrement forcé des contributions non versées, et l’ANAF aurait, corrélativement, l’obligation de fournir les informations relatives aux revenus desdites personnes nécessaires à cette fin, étant précisé que les modalités concrètes de la transmission des informations en question entre les deux institutions nationales sont réglées par le protocole du 26 octobre 2007 conclu par les deux institutions, expressément prévu à l’article 315 de la loi no 95/2006.

78.

Il doit à cet égard, être observé, tout d’abord, que la circonstance que la transmission des données litigieuses intervienne entre institutions publiques, en exécution d’obligations générales de collaboration prévues par des dispositions générales de la loi no 95/2006 ou du code de procédure fiscal, ne saurait, en soi, exonérer l’État membre et les institutions concernées des obligations d’information qui leur incombent au titre de la directive 95/46.

79.

Il ne saurait, en tout état de cause, être considéré que l’article 315 de la loi no 95/2006 puisse tenir lieu d’information préalable des personnes concernées au sens de l’article 10 de la directive 95/46. Cette disposition se réfère, en effet, aux informations relatives à la qualité d’assuré, sans faire aucunement mention des revenus des personnes concernées, de sorte que ces dernières ne sauraient être tenues pour informées de la transmission des données afférentes à leurs revenus au sens dudit article 10.

80.

Or, les données relatives aux revenus des personnes concernées revêtent une importance qui justifie amplement que leur transmission par l’institution publique qui les collecte à une autre institution publique fasse l’objet d’une information spécifique dans le respect des prescriptions de l’article 10, sous b) et c), de la directive 95/46, ce qui n’a pas été le cas dans l’affaire au principal.

81.

Parvenu à ce stade de l’analyse de la situation au principal, il ne reste donc plus qu’à examiner si l’absence d’information des personnes concernées est, alternativement, susceptible de relever des prescriptions de l’article 13 de la directive 95/46, disposition qui prévoit la possibilité pour les États membres d’instituer des exceptions et des limitations à la portée des droits et des obligations notamment prévus aux articles 10 et 11, paragraphe 1, de cette directive dans le respect de garanties qui correspondent à celles prévues à l’article 52, paragraphe 1, de la Charte ( 27 ). Cette disposition implique qu’une telle limitation de l’obligation d’information des personnes concernées ait été prévue par une mesure législative ( 28 ), qu’elle soit justifiée par l’un des objectifs d’intérêt général énumérés par cette disposition et qu’elle soit strictement proportionnée à l’objectif poursuivi.

82.

Il n’est, en l’occurrence, pas contesté que la transmission par l’ANAF des données nécessaires à l’établissement par la CNAS de la qualité d’assuré des personnes tirant des revenus d’activités indépendantes tout comme d’ailleurs le traitement par cette dernière des informations ainsi transmises pourraient s’avérer nécessaires pour sauvegarder un intérêt économique ou financier important dans le domaine fiscal de l’État membre en cause, au sens de l’article 13, paragraphe 1, sous e), de la directive 95/46.

83.

Cependant, il ne ressort ni de la décision de renvoi ni des observations écrites et orales présentées à la Cour par le gouvernement roumain que la législation nationale applicable dans l’affaire au principal comporte des dispositions législatives exemptant clairement et explicitement l’ANAF et/ou la CNAS de leurs obligations d’information.

84.

Ne saurait, à cet égard, être accueilli l’argument avancé par le gouvernement roumain, selon lequel les dispositions légales imposant à l’ANAF la transmission à la CNAS des données nécessaires à l’accomplissement de sa mission et le protocole du 26 octobre 2007 conclu entre les deux institutions organisant cette transmission, constitueraient la «mesure législative» requise par l’article 13, paragraphe 1, de la directive 95/46 aux fins de déroger à l’obligation d’information pesant sur les responsables du traitement de données personnelles.

85.

En effet, le protocole du 26 octobre 2007 invoqué par le gouvernement roumain ne répond pas, à l’évidence, comme la Commission l’a souligné, à la première de ces exigences, n’étant en rien assimilable à une mesure législative de porté générale, dûment publiée et opposable aux personnes concernées par la transmission des données litigieuses.

86.

J’estime, par conséquent, qu’il convient de répondre à la quatrième question de la juridiction de renvoi en disant pour droit que la directive 95/46 doit être interprétée en ce sens qu’elle s’oppose à une réglementation nationale, telle que celle en cause au principal, qui permet à une institution publique d’un État membre de traiter des données personnelles qui lui ont été transmises par une autre institution publique, et notamment les données afférentes aux revenus des personnes concernées, sans que ces dernières n’aient été préalablement informées ni de cette transmission ni de ce traitement.

87.

Eu égard à l’ensemble des développements qui précèdent, je propose à la Cour de répondre aux questions préjudicielles de la Curtea de Apel Cluj dans les termes suivants: