ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ

P. CRUZ VILLALÓN

представено на 9 юли 2015 година ( 1 )

Дело C‑201/14

Smaranda Bara и др.

срещу

Președintele Casei Naționale de Asigurări de Sănătate

Casa Naţională de Asigurări de Sănătate

Agenţia Naţională de Administrare Fiscală (ANAF)

(Преюдициално запитване, отправено от Curtea de Apel Cluj (Румъния)

„Преюдициално запитване — Икономическа и парична политика — Член 124 ДФЕС — Привилегирован достъп до финансови институции — Разпоредба, която е неприложима към спора в главното производство — Явна недопустимост — Сближаване на законодателствата — Директива 95/46/ЕО — Защита на физическите лица при обработването на лични данни — Член 7 — Условия за легитимиране на обработването на данни — Членове 10 и 11 — Съгласие и уведомяване на съответните лица — Член 13 — Изключения и ограничения — Национална правна уредба относно придобиване на качеството осигурено лице — Протокол за прехвърляне между две публични институции на лични данни за доходите на съответните лица“

1. До каква степен и по какъв начин е разрешено на публичните институции на държава членка при упражняване на правомощия им на публична власт да споделят личните данни за гражданите, и по-специално данните за техните доходи, които те събират за осъществяване на своите задачи от общ интерес? Това по същество е главният въпрос, който се поставя в рамките на делото в главното производство и който изисква тълкуване от Съда на няколко от разпоредбите на Директива 95/46/ЕО ( 2 ).

2. Настоящото дело по-специално е повод Съдът да разгледа условията, които поставя Директива 95/46 за предаване на лични данни от една администрация на друга, като се уточнят задълженията както на публичноправните субекти, които участват в това предаване, така и на националния законодател, който има за задача да уреди тези практики, в частност що се отнася до уведомяването на съответните лица.

I – Правна уредба

А – Правото на Съюза

3. Основните разпоредби от Директива 95/46, които изглеждат от значение за разрешаване на спора в главното производство, са членове 7, 10, 11 и 13. Другите релевантни разпоредби ще бъдат цитирани при необходимост в хода на изложението.

4. Член 7 от Директива 95/46 гласи: „Държавите членки предвиждат, че обработването на лични данни може да се извършва, само ако: а) съответното физическо лице е дало недвусмислено своето съгласие за това; или б) обработването е необходимо за изпълнението на договор, по който съответното физическо лице е страна, или за да се предприемат стъпки по искане на съответното физическо лице преди сключването на договора или в) обработването е необходимо за спазването на правно задължение, чийто субект е администраторът; или г) обработването е необходимо, за да бъдат защитени жизнено важни интереси на съответното физическо лице; или д) обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или трето лице, на което се разкриват данните; или е) обработването е необходимо за целите на законните интереси, преследвани от администратора или от трето лице или лица, на които се разкриват данните, с изключение на случаите, когато пред тези интереси имат преимущество интереси, свързани с основните права и свободи на съответното физическо лице, които изискват защита по силата на член 1, параграф 1“.

5. Член 10 от Директива 95/46 гласи: „Държавите членки предвиждат, че администраторът или неговият представител трябва да предостави на съответното физическо лице, от което се събират данни, отнасящи се за самия него, най-малкото следната информация, освен в случаите, когато то вече я притежава: а) самоличността на администратора или на неговия представител, когато има такъв; б) целта на обработването, за което данните са предназначени; в) всякаква друга информация, например: — получателите или категориите получатели на данни, — дали отговорите на въпросите са задължителни или доброволни, както и евентуалните последици при липса на отговор, — наличието на право на достъп и на право на поправка на данните, които се отнасят до него, доколкото подобна допълнителна информация е необходима като се отчитат конкретните обстоятелства, при които се събират данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице“.

6. Член 11 от Директива 95/46 гласи: „1. Когато данните не са получени от съответното физическо лице, държавите членки предвиждат, че администраторът или негов представител трябва, при записването на личните данни или ако се предвижда разкриването им на трета страна не по-късно от момента, когато данните се разкриват за пръв път, да предостави на съответното физическо лице най-малко следната информация, освен в случаите, когато то вече я притежава: а) самоличността на администратора или на неговия представител, когато има такъв; б) целите на обработването; в) всякаква допълнителна информация, като: — категориите данни, — получателите или категориите получатели на данни, — наличието на право на достъп и на право на поправка, на данните, които се отнасят до него, доколкото подобна информация е необходима, като се отчитат конкретните обстоятелства, при които се обработват данните, за гарантиране на справедливата им обработка по отношение на съответното физическо лице. 2. Параграф 1 не се прилага в случаите, когато, в частност, при обработка за статистически цели или за целите на историческо или научно изследване, предоставянето на подобна информация се оказва невъзможно или е свързано с прекомерно усилие, или ако записът или разкриването е постановено изрично от закона. В тези случаи държавите членки предоставят подходящи гаранции“.

7. Член 13, параграф 1 от Директива 95/46 гласи: „1. Държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени в член 6, параграф 1, член 10, член 11, параграф 1, член 12 и член 21, ако подобно ограничаване представлява необходима мярка за гарантиране на: а) националната сигурност; б) отбраната; в) обществената сигурност; г) предотвратяването, разследването, разкриването и преследването на углавни престъпления или за нарушения на етичните кодекси при регламентираните професии; д) важни икономически и финансови интереси на държавата членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси; е) функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д); ж) защита на съответното физическо лице или на правата и свободите на други лица“.

Б – Националното право

8. От акта за преюдициално запитване е видно, че именно Закон № 95/2006 относно реформата в областта на здравеопазването и Заповед на председателя на Casa Naţională de Asigurări de Sănătate (Национална здравноосигурителна каса) ( 3 ) № 617 от 13 август 2007 г. ( 4 ), издадена в изпълнение на този закон, съставляват правната рамка за определяне на качеството на осигурено лице на румънските граждани, постоянно пребиваващи в страната, както и на чуждестранните граждани и на лицата без гражданство, които са поискали и са получили удължаване на правото си на временно пребиваване или които са с постоянно пребиваване в Румъния, както и на техните задължения за плащане на вноските за здравно осигуряване.

9. Запитваща юрисдикция уточнява, че тези два акта оправомощават институциите на държавата да предават на CNAS данните, необходими за определяне на качеството на осигурено лице. В това отношение член 315 от Закон № 95/2006 гласи: „Данните, необходими за [определяне] на качеството на осигурено лице, се предават безплатно на здравноосигурителните каси [от] публичните органи или от други институции, с протокол“.

10. С протокол от 26 октомври 2007 г. с номер P 5282/26.10.2007/95896/30.10.2007 ( 5 ), Agenţia Naţională de Administrare Fiscală (Националната агенция за управление на данъците) ( 6 ) и CNAS уреждат начините на предаване на съответните данни. В член 4 от него се предвижда: „След влизане в сила на настоящия протокол [ANAF], чрез подведомствените ѝ специализирани звена, предоставя в електронен формат първоначалната база данни относно: a. доходите на лицата, които попадат в категориите, посочени в член l, алинея l от настоящия протокол, а тримесечно — за актуализирането тази база данни, на [CNAS], във вид, подходящ за автоматичната обработка, в съответствие с приложение № l към настоящия протокол […]“.

II – Спорът в главното производство

11. Жалбоподателите в главното производство са лица, получаващи доходи като самонаети лица, които са били задължени да заплатят своите вноски в Единния национален здравноосигурителен фонд въз основа на акт за невнесени осигурителни вноски, издаден от здравноосигурителната каса на Клуж (Румъния), съставен на базата на предоставените от ANAF на CNAS данни за доходите им.

12. Пред запитващата юрисдикция посочените жалбоподатели оспорват отделните административни актове, въз основа на които ANAF е предала на CNAS необходимите данни за съставянето на тези актове, по-специално данните относно техните доходи. Те смятат, че предаването на личните им данни от ANAF на CNAS е извършено в нарушение на разпоредбите на Директива 95/46. Въз основа на обикновен вътрешен протокол тези данни са предадени и използвани за цели, различни от целите, за които първоначално са били предадени на CNAS, без изричното съгласие на жалбоподателите и без те да са били предварително уведомени за това.

13. Запитващата юрисдикция уточнява в това отношение, че румънското законодателство урежда стриктно и ограничително предаването на данните, необходими за установяване на качеството на осигурено лице, а именно идентификационните данни за лицето (фамилно име, лично име, единен граждански номер, постоянен или временен адрес в Румъния), но от тях са изключени данните относно доходите, получени в Румъния.

III – Преюдициалните въпроси и производството пред Съда

14. При тези обстоятелства с определение от 31 март 2014 г. Curtea de Apel Cluj (Апелативен съд, Клуж, Румъния) решава да спре производството и да постави на Съда следните четири преюдициални въпроса: „1) Съставлява ли финансова институция по смисъла на член 124 ДФЕС националният данъчен орган като представител на ресорното министерство на държава членка? 2) Възможно ли е предаването от националния данъчен орган на базата данни за доходите, получавани от гражданите на държава членка, на друга институция на държавата членка да се урежда с акт, приравнен на административен акт, по-конкретно с протокол, подписан между националния данъчен орган и друга държавна институция, без да е налице привилегирован достъп, така както той е определен в член 124 ДФЕС? 3) Вписва ли се в понятието [обосновани] от разумни съображения мерки по смисъла на член 124 ДФЕС предаването на базата данни с цел установяване в тежест на гражданите на държавата членка на задължения за плащане като социални осигуровки към институцията на държавата членка, в полза на която се извършва предаването? 4) Могат ли да бъдат обработвани личните данни от орган, за който тези данни не са предназначени, доколкото тази операция води с обратно действие до имуществени вреди?“.

15. CNAS, румънското и чешкото правителство, както и Европейската комисия представят писмени становища пред Съда.

16. Съдът също така е поканил заинтересованите страни, които имат право да представят изявления по смисъла на член 23 от Статута на Съда на Европейския съюз, да изразят становище в съдебното заседание по три въпроса, а именно: относно обхвата на задълженията, произтичащи от членове 10 и 11 от Директива 95/46 за ANAF като орган, предаващ данните, както и за CNAS като получател на тези данни; относно релевантността на член 13 от Директива 95/46 за търсеното от запитващата юрисдикция тълкуване и накрая, относно критериите, въз основа на които протоколът от 26 октомври 2007 г. между CNAS и ANAF може да се приеме като „законодателна мярка“ по смисъла на член 13 от Директива 95/46.

17. В съдебното заседание, състояло се на 29 април 2015 г., жалбоподателите в главното производство, както и румънското правителство и Комисията, излагат устни становища и отговарят на поставените от Съда въпроси.

IV – Относно допустимостта на въпросите

18. Всички заинтересовани страни, представили становища пред Съда, са съгласни да се приеме, че първите три въпроса, поставени от запитващата юрисдикция, свързани с тълкуването на член 124 ДФЕС, трябва да се обявят за недопустими, тъй като тази разпоредба на първичното право няма връзка с предмета на спора в главното производство и не би могла да се приложи към фактическата ситуация в главното производство.

19. В случая член 124 ДФЕС, който се съдържа в главата на договора, посветена на икономическата и парична политика, забранява всички мерки, предоставящи на държавите членки привилегирован достъп до финансови институции. Целта на тази разпоредба, която подчинява финансовите операции на публичния сектор на дисциплината на пазарния механизъм и по този начин допринася за засилването на бюджетната дисциплина ( 7 ), преследва, наред с член 123 ДФЕС и член 125 ДФЕС, цел с превантивен характер, която е насочена, както Съдът е имал повод да подчертае, към това да се минимизира в рамките на възможното рискът от криза на държавния дълг ( 8 ).

20. Член 1, параграф 1 от Регламент № 3604/93 определя понятието „мярка, установяваща привилегирован достъп“, като всяка законова или подзаконова разпоредба или всеки друг задължителен правен инструмент, приети при упражняването на правомощията на публичната власт, които или задължават финансовите институции да придобиват или да притежават вземания по-специално на централни администрации, на регионални, местни или други публични власти, на други органи, регулирани от публичното право или на публични предприятия на държавите членки, или предоставят данъчни привилегии, които могат да облагодетелстват единствено финансовите институции, или финансови преимущества, които не съответстват на принципите на пазарна икономика, с цел да бъде окуражено придобиването или притежаването от страна на тези институции на такива вземания.

21. Съвсем очевидно е, че обсъжданата в главното производство ситуация, и по-точно достъпът на CNAS до събраните от ANAF данни, не би могла да се разглежда като „привилегирован достъп“ на „финансови институции“ ( 9 ), за което впрочем дори и не става въпрос в акта за преюдициално запитване.

22. От това става явно, че член 124 ДФЕС не може да се приложи към спора в главното производство и че първите три преюдициални въпроса на запитващата юрисдикция следователно трябва да се отхвърлят като недопустими.

23. Що се отнася до четвъртия въпрос на запитващата юрисдикция, трябва да се отбележи също така, че той е формулиран най-общо, че в него не са посочени конкретните разпоредби на правото на Съюза, чието тълкуване се иска с цел да се разреши спора в главното производство, и че той съдържа само сбито представяне на правната уредба и на фактите в главното производство, поради което може също да се приеме, че следва да се отхвърли като недопустим.

24. Румънското правителство изтъква в това отношение, че няма никаква връзка между твърдяната от жалбоподателите в главното производство вреда, настъпила от обработването на разглежданите в главното производство данни, и отмяната на административните актове, която се цели в рамките на главното производство.

25. Несъмнено е точно, че позоваването от запитващата юрисдикция на имуществените вреди, настъпили ретроактивно за лицата, засегнати от предаването на данни, както се оказва при разглеждането по същество на четвъртия въпрос, е ирелевантно за анализа на съвместимостта на националното законодателство с изискванията на Директива 95/46.

26. Въпреки това от акта за преюдициално запитване става ясно, че четвъртият въпрос се отнася до тълкуването на разпоредби от Директива 95/46. Всъщност запитващата юрисдикция уточнява, че тя търси отговор, от една страна, като се позовава имплицитно на хипотезата по член 11 от Директива 95/46, на въпроса дали обработването от CNAS на лични данни, събрани от ANAF, е извършено при спазване на задълженията за уведомяване, които са ѝ възложени. Тя посочва, че търси отговор, от друга страна, на въпроса дали предаването на лични данни въз основа на протокола от 26 октомври 2007 г. представлява нарушение на задължението на държавата членка да осигури обработването на лични данни в съответствие с разпоредбите на Директива 95/46, като се позовава, отново имплицитно, на член 13 от нея, който разрешава ограничения на гарантираните от тази директива права, доколкото те са предвидени от закона и съчетани със законови гаранции.

27. По този начин изложението на въпросите, които запитващата юрисдикция си поставя, позволява да се открои в достатъчна степен поставеният от спора в главното производство въпрос за тълкуване на Директива 95/46.

28. В това отношение следва да се напомни, че съгласно трайно установената съдебна практика отговор на отправен преюдициален въпрос може да бъде отказан само ако е очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или още когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси ( 10 ).

29. Затова намирам, че четвъртият преюдициален въпрос, поставен от запитващата юрисдикция, е допустим и трябва да бъде разгледан.

V – По четвъртия въпрос

30. С четвъртия си въпрос, след прочит в духа на разясненията, направени в акта за преюдициално запитване и на изложените по-горе разсъждения, запитващата юрисдикция по същество иска да установи дали Директива 95/46 трябва да се тълкува в смисъл, че тя не допуска национална правна уредба, позволяваща на публична институция на държава членка да обработва лични данни, на които тя не е получател, и по-специално данни относно доходите на съответните лица, без те да са дали съгласието си за това и без да са уведомени предварително.

А – Резюме на представените пред Съда становища

31. Жалбоподателите в главното производство изтъкват в съдебното заседание, че запитващата юрисдикция иска най-вече да се определи доколко националната административна практика, отразена в конкретния случай в протокола от 26 октомври 2007 г. и състояща се в автоматично и повтарящо се предаване от ANAF на CNAS на лични данни, които са част от данъчните данни на определени категории данъчнозадължени лица (фамилно име, лично име, категории доходи и платени данъци), е съвместима с процедурните изисквания, предвидени в Директива 95/46.

32. Отговаряйки на въпросите, поставени от Съда, жалбоподателите в главното производство считат, че член 11 от Директива 95/46 е приложим към делото в главното производство. Тази разпоредба определяла задълженията на първичния администратор на личните данни (ANAF) и на вторичния администратор на лични данни (CNAS), в случая задължението за уведомяване на съответните лица по-специално за идентичността на вторичния администратор, за целта на обработката на предаваните данни и за категориите предадени данни. Тези задължения били в тежест главно на вторичния администратор, тъй като трябвало да бъдат изпълнени най-късно в момента, когато данните се разкриват за пръв път.

33. В това отношение те подчертават, че протоколът от 26 октомври 2007 г. бил непоследователен, тъй като, от една страна, в член 4 от него се предвижда предаване на бази общи данни, които са предмет на периодични промени, а от друга страна, в член 6, параграф 1 от него се предвижда, че данните трябва да се предават индивидуално въз основа на протокол. В реалната национална практика обаче такива протоколи не съществували, а предаването се осъществявало автоматично, в нарушение на процедурните правила.

34. Те изтъкват също така, че член 13 от Директива 95/46 няма значение за разрешаването на спора в главното производство, доколкото CNAS не разполага с компетентност да определя вноските в здравноосигурителния фонд. Следователно предаването на данните не било необходимо, освен за една малка част от данъчнозадължените лица, за които е било установено задължението за вноски и които не са изпълнили доброволно това свое задължение.

35. Те подчертават обаче, че ако Съдът приеме за приложим член 13 от Директива 95/46, ANAF и CNAS трябвало да обосноват необходимостта от предаване на съответните данни и следователно да докажат наличието на законодателна мярка, която разрешава да се направи това без съгласието на съответните лица. Такава законодателна мярка обаче не съществувала, а протоколът от 26 октомври 2007 г. не можел да я замести. След като последният не е публикуван в Официален вестник, той не отговарял на изискванията за предвидимост и за правна сигурност и затова не можел да породи действие erga omnes.

36. В писменото си становище, споделяно в основни линии от CNAS, румънското правителство изтъква, че от една страна, предаването на данни относно доходите на самоосигуряващите се лица между ANAF и CNAS било предвидено от закона и било необходимо, за да може CNAS да изпълнява своите задачи, и от друга страна, че обработването на тези данни било необходимо за спазването на нейното правно задължение по смисъла на член 7 от Директива 95/46. Затова не било необходимо нито съгласието на съответните лица, нито да им се предоставя информация съгласно член 10 или член 11 от Директива 95/46.

37. В съдебното заседание румънското правителство изтъква обстоятелството, че предаването и обработването на спорните лични данни се включва в задълженията за сътрудничество между публичните институции по силата на Данъчния процесуален кодекс, по-специално на членове 11 и 62 от него. В това отношение протоколът от 26 октомври 2007 г. не съставлявал правно основание за тези задължения, а се ограничавал да уреди начините на предаване на данните от ANAF на CNAS. Следователно тези задължения за предаване на данъчна информация, които биха могли да възникнат само между публични институции и с единствената цел да се определи размерът на дължимия данък и на дължимите вноски, сред които са и здравноосигурителни вноски, имали законна цел за защита на финансовите интереси в съответствие с разпоредбите на член 13, параграф 1, буква д) от Директива 95/46. Затова не се изисквало уведомяването на съответните лица.

38. Чешкото правителство изтъква основно, че предаването на спорните данни от ANAF на CNAS можело да се извърши без съгласието на съответните лица, в съответствие с член 7, буква д) от Директива 95/46, и без да се налага да им се предоставя информация, като се приложат изключенията, посочени в член 11, параграф 2 и член 13 от същата директива. Впрочем тази директива не съдържала нито една разпоредба, която да изисква предаването на лични данни между публични институции да бъде предвидено специално в обща норма.

39. В писменото си становище Комисията най-напред подчертава, че разглежданите в конкретния случай данни били лични данни по смисъла на член 2, буква a) от Директива 95/46, че разглежданите две национални институции, а именно ANAF и CNAS можело да бъдат определени като администратори на посочените данни по смисъла на член 2, буква г) от същата директива и че както събирането, така и предаването на тези данни се включвали в „обработването на лични данни“ по смисъла на член 2, буква б) от посочената директива.

40. В писменото си становище Комисията предлага на Съда да приеме, че членове 6 и 7 от Директива 95/46 трябва да се тълкуват в смисъл, че те допускат предаването на данни относно доходите, предмет на главното производство, когато това предаване се извършва въз основа на ясни и точни законови разпоредби и прилагането му е предвидимо за съответните лица, което трябва да се провери от запитващата юрисдикция.

41. Все пак Комисията разширява този извод в устното си становище чрез отговорите си на въпросите, формулирани от Съда за съдебното заседание. По същество тя изтъква, че условията, отнасящи се до съгласието и уведомяването на съответните лица, на които комбинираните разпоредби на членове 7, 10, 11 и 13 от Директива 95/46 подчиняват събирането, предаването и обработването на лични данни, не били изпълнени при конкретните обстоятелства по делото в главното производство и че във всички случаи националната правна уредба, и по-специално протоколът от 26 октомври 2007 г. между ANAF и CNAS, не отговаряла на изискванията на член 13 от същата директива, тълкуван в духа на членове 8 и 52 от Хартата на основните права на Европейския съюз (по-нататък „Хартата“) и на член 8 от Европейската конвенция за защита правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 година.

42. Според Комисията също така Директива 95/46 се основава на принципа, че лицето, чиито лични данни се обработват, трябва да бъде в течение на всяко ограничение на неговите права, произтичащи от Директива 95/46, въз основа на ясни, точни и предвидими разпоредби. Предаването на разглежданите в главното производство данни обаче било извършено въз основа на обикновен протокол за сътрудничество между две институции, основаващ се самият той на разпоредба от Закон № 95/2006, която не отговаряла на тези изисквания за яснота по отношение на данните, необходими за определяне на качеството на осигурено лице.

43. Разглеждайки отделните въпроси, изискващи устен отговор, поставени от Съда, Комисията подчертава, че както ANAF, така и CNAS е трябвало да предоставят на засегнатите лица информацията, изискуема съответно съгласно членове 10 и 11 от Директива 95/46, тъй като румънското законодателство не отговаряло на изискванията за дерогиране от тези задължения.

44. В това отношение тя най-напред подчертава, че румънската правна уредба изглежда не отговаря на условията, установени от член 11, параграф 2 от Директива 95/46, по силата на който разпоредбите на параграф 1 от същия член не се прилагат, когато националното законодателство предвижда изрично запис или разкриване на данните, като препраща към националната юрисдикция да изследва този въпрос.

45. По-нататък тя подчертава, че всяко ограничаване на правото на информация на съответните лица, предвидено от членове 10 и 11 от Директива 95/46, трябва в съответствие с член 13 от тази директива да бъде предвидено в законодателна мярка, да преследва една от целите от общ интерес, които тази разпоредба изброява, и да бъде пропорционално. Румънското законодателство обаче не съдържало никаква мярка, която да предвижда такова дерогиране, доколкото разпоредбата, предвиждаща предаване на данни от ANAF на CNAS, не може да се приеме за разпоредба, посочваща ясно, че засегнатите лица няма да бъдат уведомявани за това.

46. В това отношение тя отбелязва, че протоколът от 26 октомври 2007 г., подписан между ANAF и CNAS, който урежда предаването на информация между две институции, без обаче да съдържа разпоредби относно уведомяването на съответните лица, не можел да се приеме за законодателна мярка по смисъла на член 13 от Директива 95/46. Ставало въпрос за обикновено двустранно споразумение, непубликувано в официалния вестник, което не пораждало задължително правно действие и не можело да се противопостави на трети лица. В това отношение член 13 от Директива 95/46 отразявал разпоредбите на член 52, параграф 1 от Хартата на основните права и на член 8, параграф 2 от Европейската конвенция за защита правата на човека и основните свободи в специалната област на защита на личните данни и следователно трябвало да се тълкува в духа на съответната практика на Съда и на Европейския Съд по правата на човека.

47. Във всички случаи и ако се предположи възможността да се приеме, че румънското законодателство съдържа изискуемата законова дерогация, ограничението на задължението за уведомяване на съответните лица трябвало да отговаря на критерия за необходимост и да бъде пропорционално. Ако в това отношение можело да се допусне, от една страна, че функционирането на службата за обществено здравеопазване представлява цел в обществен интерес по смисъла на член 13 от Директива 95/46 и че предаването на данни от ANAF на CNAS допринася за осъществяването на тази цел, от друга страна е трудно да се разбере защо е било необходимо да не се уведомяват съответните лица, след като това уведомяване не може да засегне осъществяването на посочената цел.

Б – Относно основните релевантни разпоредби от Директива 95/46

48. За да може да се даде полезен отговор на запитващата юрисдикция, трябва да се започне, като се припомнят основните правила, установени в членове 5—7 и 10—13 от Директива 95/46, които, доколкото уреждат обработването и предаването на лични данни, изглеждат относими за разрешаването на спора в главното производство.

49. Съгласно член 5 от Директива 95/46 държавите членки трябва да определят по-точно условията, при които обработването на лични данни е законно в границите на разпоредбите на членове 6—21.

50. Както Съдът многократно напомня, извън допуснатите на основание член 13 от тази директива случаи на дерогиране, че обработването на лични данни трябва да отговаря, от една страна, на отнасящите се до качеството на данните принципи, прогласени в член 6 от посочената директива, и от друга страна, на някой от шестте критерия за законосъобразност на обработването на лични данни, изброени в член 7 от същата директива ( 11 ).

51. Членове 6 и 7 от тази директива определят също така, доколкото това се отнася до настоящото дело, три първоначални изисквания за събиране и обработване на лични данни.

52. Администраторът ( 12 ) трябва по-специално да следи личните данни да се събират за конкретни, ясно формулирани и законни цели, да се обработват справедливо и законно и да не бъдат допълнително обработени по начин, който е несъвместим с тези цели ( 13 ).

53. Член 7 от Директива 95/46 предвижда от своя страна, че обработването на лични данни може да се счита за законно и следователно да се извършва само при условие че отговаря на един от изброените в него хипотези и по-специално, доколкото това се отнася за настоящото дело, ако съответното физическо лице е дало недвусмислено своето съгласие за това ( 14 ) или ако обработването е необходимо за спазването на правно задължение, чийто субект е администраторът ( 15 ) или още ако обработването е необходимо за изпълнението на задача, която се осъществява в обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора или на трето лице, на което се разкриват данните ( 16 ).

54. Съдът приема, че тази разпоредба установява изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законно ( 17 ). Той уточнява също така, че предвид целта на Директива 95/46 — да се осигури еднаква степен на защита във всички държави членки — понятието за необходимост, което произтича от член 7, буква д) от тази директива, не може да има различно съдържание в различните държави членки и следователно е самостоятелно понятие в правото на Съюза ( 18 ).

55. Що се отнася до членове 10 и 11 от Директива 95/46, те определят задълженията на администратора на лични данни, като се прави разлика между случая, когато тези данни са събрани от съответното физическо лице, и случая, когато тези данни не са събрани от съответното физическо лице.

56. В член 10 от Директива 95/46, във връзка с текста на съображение 38 от нея, се предвижда също така, че лицата, от които администраторът е събрал данните, трябва да могат да научат за съществуването на операция по обработката и да получат точна и пълна информация относно събирането на тези данни, и по-специално, за да може процесът на обработка на данните да бъде справедлив, да получат информация за целите на обработката, за която са предназначени данните, както и информация за получателите или категориите получатели на тези данни, посочени в споменатия член 10, букви б) и в), извън случаите, в които те вече разполагат с тази информация.

57. В член 11, параграф 1 от Директива 95/46, във връзка с текста на съображения 39 и 40 от тази директива, се предвиждат хипотези, в които обработката се отнася до данни, които не са събрани непосредствено от засегнатите лица, по-специално когато те са съобщени законно на трети лица, дори в случаите, когато това не е било предвидено при събирането им ( 19 ). В тези случаи засегнатите лица трябва да могат да получат от момента на записването на данните или не по-късно от момента, когато данните се разкриват за пръв път, ако се предвижда разкриването им на трета страна, и информация относно целите на обработката, категориите на съответните данни и получателите или категориите получатели на данните, посочени в споменатия член 11, параграф 1, букви б) и в).

58. Съгласно член 11, параграф 2 от същата директива обаче разпоредбите на параграф 1 от същия член не се прилагат, когато записът или разкриването на данните е предвидено от закона, като в тези случаи държавите трябва да предоставят подходящи гаранции.

59. Накрая, член 13 от Директива 95/46, озаглавен „Изключения и ограничения“, предвижда, че държавите членки могат да приемат законодателни мерки за ограничаване на обхвата на правата и задълженията, предвидени по-специално в член 6, параграф 1 и член 11, параграф 1 от същата директива, ако подобно ограничаване представлява необходима мярка за гарантиране на важни интереси и по-специално „важни икономически и финансови интереси на държавата членка или на Европейския съюз, включително валутни, бюджетни и данъчни въпроси“ ( 20 ), или също „функции по наблюдение, проверка или регламентиране, свързани, дори случайно, с упражняването на официални правомощия в случаите, посочени в букви в), г) и д)“ от член 13, параграф 1 от тази директива ( 21 ).

60. С оглед на всички тези разпоредби сега следва да се разгледа спорната ситуация по главното производство.

В – Относно прилагането на Директива 95/46 към ситуацията по главното производство

61. На първо място, следва да се констатира, че данните, разглеждани в главното производство, предадени от ANAF на CNAS, представляват лични данни по смисъла на член 2, буква a) от Директива 95/46. Всъщност тези данни, които включват собственото и фамилното име на съответните лица ( 22 ), както и данните за размера на доходите им ( 23 ), безспорно представляват „информация, свързана с идентифицирано или подлежащо на идентификация [физическо] лице“. Тяхното предаване от ANAF и обработването им от CNAS имат характер на обработване на лични данни по смисъла на член 2, буква б) от посочената директива.

62. Безспорно е обаче, че разглежданата в главното производство ситуация попада в приложното поле на Директива 95/46.

63. Спрямо разглежданата в главното производство ситуация впрочем могат да се приложат както член 10 от Директива 95/46, така и член 11 от нея. Всъщност, а и както произтича от предходните разсъждения, добросъвестното обработване на личните данни на жалбоподателите в главното производство от ANAF включва изискването тя да им предостави информация за предаването на тези данни на CNAS съгласно член 10, буква в) от Директива 95/46. Обработката от CNAS на предадените от ANAF данни обаче включва и изискването на посочените жалбоподатели в главното производство да се предостави информация поне относно целите на обработката, както и относно съответните категории данни съгласно член 11, параграф 1, букви б) и в) от Директива 95/46.

64. На второ място, трябва да се отбележи, че въпросът на запитващата юрисдикция ( 24 ) не се отнася до обработването от ANAF на разглежданите в главното производство лични данни, по-конкретно до условията за законосъобразност и легитимиране на тази обработка по смисъла на членове 6 и 7 от Директива 95/46.

65. Става въпрос само за предаване на данни от една публична институция на друга, по-специално за предаването на събрани от ANAF данни на CNAS и за обработването на същите данни от последната — операции, които, от една страна, са извършени при пълна липса на съгласие и на информация за съответните физически лица, и които, от друга страна, са извършени на основание на национална правна уредба, която не отговаря на изискванията на Директива 95/46, в частност на задълженията за предоставяне на информация на съответните физически лица, предвидени в членове 10 и 11 от Директива 95/46.

66. Четвъртият преюдициален въпрос, поставен от запитващата юрисдикция, който трябва да се разгледа както от гледна точка на задълженията на ANAF, така и от гледна точка на задълженията на CNAS, следователно трябва да се разгледа преди всичко с оглед на разпоредбите на членове 7, 10 и 11 и на Директива 95/46 и на съдържащите се в тях условия за съгласие и за предоставяне на информация на лицата, съответните данни на които са предмет на обработване. Той следва да се разгледа евентуално и с оглед на разпоредбите на член 13 от същата директива, който определя изключенията и ограниченията в обхвата на задълженията и на правата, предвидени по-специално в член 10 и член 11, параграф 1 от същата директива.

Г – Относно спазването на изискванията за предоставяне на информация на съответните лица, установени в членове 10 и 11 от Директива 95/46

67. Не се спори, че жалбоподателите в главното производство и в по-широка степен, засегнатите лица, чиито лични данни, събрани от ANAF, са били предадени от нея на CNAS и обработвани от последната, от една страна, не са били уведомени от ANAF за това предаване при спазване на изискванията на член 10 от Директива 95/46. Тези лица, от друга страна, също така не са давали съгласие по смисъла на член 7, параграф 1, буква a) от Директива 95/46 за посоченото обработване от CNAS, нито са били уведомени за тази обработка при спазване на разпоредбите на член 11, параграф 1 от същата директива.

68. Що се отнася до съгласието, изясни се, че както изтъкват румънското правителство и CNAS, за обработването от последната на личните данни на лица, които получават доходи като самонаети лица, се прилагат разпоредбите на член 7, буква д) от Директива 95/46. Затова съгласието на последните в това отношение не се изисква ( 25 ).

69. Всъщност CNAS в конкретния случай има задължението по силата на Закон № 95/2006 да признае качеството на осигурени лица на лицата, които получават доходи като самонаети лица, качество, чието признаване е в зависимост от това дали те внасят своите здравноосигурителни вноски в териториалните здравноосигурителни каси. Затова обработването от CNAS на предадените от ANAF лични данни на лицата, които получават доходи като самонаети лица, е необходимо за определяне на качеството им като осигурено лице и in fine, за ползването на правата, произтичащи от това качество. Оттук следва, че съгласието на лицата, обработката на личните данни на които се разглежда в главното производство, не се изисква.

70. Въпреки това запитващата юрисдикция трябва да се убеди, че така предадените и обработвани от CNAS данни отговарят на критерия за необходимост, предвиден от тази разпоредба, като провери, че те не надхвърлят това, което е строго необходимо, за да изпълни CNAS своята задача ( 26 ).

71. Следователно трябва да се обърне внимание главно на въпроса за спазване на изискванията за уведомяване на лицата, чиито лични данни са предадени от ANAF и тяхното обработване от CNAS при условията, определени от членове 10 и 11 от Директива 95/46.

72. Както вече в общи линии беше посочено по-горе, може да се приеме, че предаването от ANAF на CNAS на личните данни на лица, които получават доходи като самонаети лица, и обработването на тези данни от последната отговаря на изискванията на Директива 95/46 само при условие че съответните лица са били уведомени съгласно член 10 и член 11, параграф 1 от същата директива.

73. По-точно държавата членка е длъжна да предвиди необходимите мерки така, че и едната, и другата институция в главното производство, и двете в качеството им на администратори на лични данни, да предоставят на съответните лица изискваната информация, а именно — ANAF на основание член 10 от Директива 95/46, и CNAS — на основание член 11 от същата директива, освен ако в случая записът или разкриването на данните не са били изрично предвидени от закона.

74. В това отношение е важно да се подчертае, както отбелязва Комисията в съдебното заседание, че това изискване за уведомяване на лицата, чиито лични данни се обработват, което гарантира прозрачност при всяко обработване, е още по-важно, доколкото то е условие за упражняване на правото на достъп до обработваните данни, уредено в член 12 от Директива 95/46, и на правото на възражение срещу обработването на същите данни, установено в член 14 от същата директива.

75. В конкретния случай не се спори, че жалбоподателите в главното производство не са били официално и индивидуално уведомени от ANAF за предаването на личните им данни на CNAS и специално на данните за доходите им, както се изисква от член 10 от Директива 95/46. Безспорно е също така, че при записа на предадените от ANAF данни CNAS също не им е предоставила данните, посочени в букви a)—в) на член 11, параграф 1 от Директива 95/46.

76. Румънското правителство обаче изтъква, че по силата на няколко разпоредби от Данъчнопроцесуалния кодекс и на член 315 от закон № 95/2006 ANAF има задължението да предава на териториалните здравноосигурителни каси данните, необходими за определяне на „качеството на осигурено лице“ на лицата, които получават доходи като самонаети лица, и че размерът на дължимите от тези лица вноски се определя само на основата на данните за тези доходи, намиращи се в ANAF, пред която тези лица трябва да подават годишна декларация за доходи.

77. Все според това правителство законът предвижда задължение за CNAS да обработва личните данни на лицата, които получават доходи като самонаети лица, по-специално за да се започнат процедурите по принудително събиране на невнесените вноски, и ANAF съответно има задължението да предостави необходими за тази цел данни за доходите на тези лица, като се уточнява, че конкретните начини на предаване на въпросните данни между двете национални институции са уредени в протокола от 26 октомври 2007 г., подписан от двете институции, както е предвидено изрично в член 315 от Закон № 95/2006.

78. В тази насока следва да се отбележи най-напред, че самото обстоятелство, че предаването на спорните данни е осъществено между публични институции в изпълнение на общи задължения за сътрудничество, предвидени от общите разпоредби на Закон № 95/2006 или на Данъчния процесуалния кодекс, не освобождава държавата членка и съответните институции от възложените им от Директива 95/46 задължения за предоставяне на информация.

79. Във всички случаи не би могло да се приеме, че член 315 от Закон № 95/2006 може да замести предварителното уведомяване на съответните лица по смисъла на член 10 от Директива 95/46. Тази разпоредба всъщност се позовава на данните относно качеството на осигурено лице, без да споменава доходите на съответните лица, така че те не биха могли да се считат за уведомени за предаването на данните относно техните доходи по смисъла на посочения член 10.

80. Данните за доходите на съответните лица обаче имат значение, което напълно оправдава това, че за предаването им от публичната институция, която ги събира, на друга публична институция трябва да бъде предоставена конкретна информация при спазване на изискванията на член 10 букви б) и в) от Директива 95/46, което не е било направено така по делото в главното производство.

Д – Относно спазването на изискванията на член 13 от Директива 95/46

81. Достигайки до този етап от анализа на положението в главното производство, остава само да се обсъди дали фактът, че не са уведомени съответните лица, може евентуално да попадне в обхвата на разпоредбата на член 13 от Директива 95/46, която разпоредба предвижда възможността държавите членки да установяват изключения и ограничения на обхвата на правата и на задълженията, предвидени в член 10 и член 11, параграф 1 от тази директива, при спазване на гаранции, съответстващи на предвидените в член 52, параграф 1 от Хартата ( 27 ). Тази разпоредба предполага, че такова ограничение на задължението за предоставяне на информация на съответните лица е предвидено в законодателна мярка ( 28 ), оправдано е от цели от общ интерес, изброени в тази разпоредба, и е строго пропорционално на преследваната цел.

82. В конкретния случай не се оспорва, че предаването от ANAF на необходимите данни за определяне от CNAS на качеството на осигурено лице на лицата, които получават доходи като самонаети лица, както впрочем и обработването на така предадените данни от последната, може да се окаже необходимо за гарантиране на важен икономически и финансов интерес на дадената държава членка в данъчната област по смисъла на член 13, параграф 1, буква д) от Директива 95/46.

83. Въпреки това нито от акта за преюдициално запитване, нито от писмените и устни становища пред Съда на румънското правителство не произтича, че приложимото национално законодателство по делото в главното производство съдържа законодателни разпоредби, които освобождават ясно и изрично ANAF и/или CNAS от задълженията им за предоставяне на информация.

84. В тази насока не може да се приеме като основателен изтъкваният от румънското правителство довод, че законовите разпоредби, които задължават ANAF да предава на CNAS необходимите за изпълнението на неговите задачи данни, и протоколът от 26 октомври 2007 г., подписан между двете институции, с който се организира това предаване, представляват „законодателна мярка“ по смисъла на член 13, параграф 1 от Директива 95/46, която да дерогира от задължението на администратора на лични данни за предоставяне на информация.

85. В действителност протоколът от 26 октомври 2007 г., на който се позовава румънското правителство, както подчертава Комисията, очевидно не отговаря на първото от тези изисквания, тъй като той не може по нищо да бъде приравнен на обща законодателна мярка, надлежно публикувана и противопоставима на засегнатите от предаването на спорните данни лица.

86. Поради изложеното считам, че на четвъртия въпрос на запитващата юрисдикция следва да се отговори, че Директива 95/46 трябва да се тълкува в смисъл, че тя не допуска национална правна уредба като разглежданата в главното производство, позволяваща на публична институция на държава членка да обработва лични данни, които са ѝ предадени от друга публична институция, и по-специално данни относно доходите на съответните лица, без те да са били предварително уведомени нито за това предаване, нито за това обработване.

VI – Заключение

87. С оглед на всички направени по-горе разсъждения предлагам на Съда да отговори на поставените от Curtea de Apel Cluj преюдициални въпроси по следния начин: 1) Трите първи преюдициални въпроса за тълкуването на член 124 ДФЕС са недопустими. 2) Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни трябва да се тълкува в смисъл, че тя не допуска национална правна уредба като разглежданата в главното производство, позволяваща на публична институция на държава членка да обработва лични данни, които са ѝ предадени от друга публична институция, и по-специално данните относно доходите на съответните лица, без те да са били предварително уведомени нито за това предаване, нито за това обработване.

( 1 ) Език на оригиналния текст: френски.

( 2 ) Директива на Европейския парламент и на Съвета от 24 октомври 1995година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10).

( 3 ) Casa Naţională de Asigurări de Sănătate (наричана по-нататък „CNAS“).

( 4 ) Заповед, с която се одобряват методологични норми за изготвяне на оправдателните документи за получаването на качеството на осигурено лице, съответно на осигурено лице, освободено от заплащане на вноски, както и за прилагане на мерките за принудително събиране на сумите, дължими на Единния национален здравноосигурителен фонд.

( 5 ) Наричан по-нататък „протоколът от 26 октомври 2007 г.“.

( 6 ) Наричана по-нататък „ANAF“.

( 7 ) Вж. първо съображение от Регламент (EО) № 3604/93 на Съвета от 13 декември 1993 година за уточняване на дефинициите за прилагането на забраната за привилегирован достъп, посочена в член [124 ДФЕС] (ОВ L 332, стр. 4; Специално издание на български език, 2007 г., глава 10, том 1, стр. 30).

( 8 ) Вж. решения Pringle (C‑370/12, EU:C:2012:756, т. 59) и Gauweiler и др. (C‑62/14, EU:C:2015:400, т. 93 и сл.).

( 9 ) Вж. в това отношение определението за финансови институции в член 4 от Регламент № 3604/93.

( 10 ) Вж. в това отношение заключението ми по дело Delvigne (C‑650/13, EU:C:2015:363, т. 54).

( 11 ) Вж. решения Österreichischer Rundfunk и др. (C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 65), Huber (C‑524/06, EU:C:2008:724, т. 48), ASNEF и FECEMD (C‑468/10 и C‑469/10, EU:C:2011:777, т. 26) и Worten (C‑342/12, EU:C:2013:355, т. 33).

( 12 ) Вж. член 6, параграф 2 от Директива 95/46.

( 13 ) Вж. член 6, параграф 1, букви a) и б) от Директива 95/46.

( 14 ) Вж. член 7, буква a), от Директива 95/46.

( 15 ) Вж. член 7, буква в), от Директива 95/46.

( 16 ) Вж. член 7, буква д), от Директива 95/46.

( 17 ) Вж. решение ASNEF et FECEMD (C‑468/10 и C‑469/10, EU:C:2011:777).

( 18 ) Вж. решение Huber (C‑524/06, EU:C:2008:724, т. 52).

( 19 ) Относно тази разпоредба вж. по-специално решения Rijkeboer (C‑553/07, EU:C:2009:293, т. 67 и 68), IPI (C‑473/12, EU:C:2013:715, т. 23, 24, 45 и 46) и Ryneš (C‑212/13, EU:C:2014:2428, т. 34).

( 20 ) Член 13, параграф 1, буква e), от Директива 95/46.

( 21 ) Член 13, параграф 1, буква е) от Директива 95/46.

( 22 ) Вж. по-специално решение Österreichischer Rundfunk и др. (C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 64).

( 23 ) Вж. по-специално решение Satakunnan Markkinapörssi и Satamedia (C‑73/07, EU:C:2008:727, т. 35).

( 24 ) Впрочем нито дори оспорването на жалбоподателите в главното производство.

( 25 ) Относно този аспект вж. документа, озаглавен „Article 29 Data Protection Working Party (WP29), Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC, 9 april 2014“ (http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf).

( 26 ) Вж. по-специално решение Huber (C‑524/06, EU:C:2008:724).

( 27 ) Вж. решение Volker und Markus Schecke и Eifert (C‑92/09 и C‑93/09, EU:C:2010:662, т. 65).

( 28 ) Вж. в това отношение заключенията ми по дело Scarlet Extended (C‑70/10, EU:C:2011:255, т. 88 и сл.) и по дело Digital Rights Ireland и др. (C‑293/12 и C‑594/12, EU:C:2013:845, т. 108 и сл.).