• Transferul datelor personale cu privire la venituri între autoritățile publice fără consimțământul expres al persoanelor vizate se opune dreptului Uniunii Europene

Hotărârea Curții de Justiție a Uniunii Europene în cauza Bara și alții împotriva Președintelui Casei Naționale de Asigurări de Sănătate, Casei Naționale de Asigurări de Sănătate și a Agenției Naționale de Administrare Fiscală (ANAF) marchează un moment esențial în privința jurisprudenței privind protecția datelor în cazul transferului de către o autoritate a administrației publice a datelor fiscale cu caracter personal în vederea prelucrării lor de către o altă autoritate a administrației publice.

În speță, reclamanții sunt avocați din Baroul Cluj, care  au contestat în instanță legalitatea transferului de la Agenția Națională de Administrare Fiscală (ANAF) către Casa Națională de Asigurări de Sănătate (CNAS) a datelor fiscale privind veniturile lor, fără consimțământul lor expres și fără informarea lor prealabilă. Avocații au susținut că, pe baza unui simplu protocol intern, și nu a unei măsuri legislative, datele menționate au fost transmise și utilizate în alte scopuri decât cele pentru care fuseseră comunicate inițial către ANAF. Pe baza acestor date, CNAS a solicitat plata restanțelor contribuțiilor la sistemul de asigurări de sănătate. Însă, în temeiul Legii nr. 95/2006, entitățile publice sunt abilitate să transmită date cu caracter personal caselor de asigurări de sănătate, pentru a le permite acestora din urmă să stabilească calitatea de asigurat a persoanelor vizate.

În aceste condiții, Curtea de Apel Cluj a hotărât să suspende judecarea cauzei și să trimită la Curtea de Justiție a Uniunii Europene (CJUE) un set de întrebări preliminare, prin care a urmărit să stabilescă dacă prelucrarea datelor de către CNAS necesită informarea prealabilă a persoanelor vizate în ceea ce privește identitatea operatorului și scopul în care au fost transmise aceste date, precum și dacă transmiterea datelor pe baza Protocolului din 2007 încalcă dispozițiile Directivei 95/46 (Directiva) care impun ca orice restricție cu privire la drepturile persoanelor vizate să fie prevăzută de lege și însoțită de garanții, în special atunci când datele sunt utilizate împotriva acestor persoane.

Prin hotărârea preliminară, CJUE a statuat că articolele 10, 11 și 13 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretate în sensul că se opun unor măsuri naționale precum cele în discuție în litigiul principal, care permit unei autorități a administrației publice a unui stat membru să transmită date personale unei alte autorități a administrației publice și prelucrarea lor ulterioară, fără ca persoanele vizate să fi fost informate despre această transmitere sau despre această prelucrare.

A se vedea:

–                       CJUE: Cauza Bara și alții contra României