Curtea de Justiție a UE: Cetățenii Uniunii trebuie informați despre transmiterea și prelucrarea datelor personale

Curtea de Justiție a Uniunii Europene (CJUE) a luat această hotărâre joi, după ce a fost sesizată de Curtea de Apel Cluj, în dosarul Smarandei Bara și altor cetățeni români și al Casei Naționale de Asigurări de Sănătate.

Instanța din România a solicitat Curții de Justiție să stabilească dacă dreptul Uniunii se opune ca o autoritate a administrației publice a unui stat membru să transmită date cu caracter personal unei alte autorități a administrației publice, în vederea prelucrării lor ulterioare, fără ca persoanele vizate să fi fost informate despre această transmitere și despre această prelucrare.

Conform unui comunicat al CJUE, Smaranda Bara și mulți alți cetățeni români desfășoară activități independente, iar administrația fiscală română a transmis datele privind veniturile lor declarate către Casa Naționale de Asigurări de Sănătate, care a solicitat în consecință plata restanțelor contribuțiilor la sistemul de asigurări de sănătate.

Persoanele vizate au contestat la Curtea de Apel Cluj legalitatea acestui transfer în raport cu prevederile directivei privind prelucrarea datelor cu caracter personal care reglementează prelucrarea acestora în cazul în care sunt conținute sau urmează să fie conținute într-un sistem de evidență a datelor cu caracter personal. Reclamanții au considerat că datele lor au fost utilizate în alte scopuri decât cele pentru care au fost comunicate inițial administrației fiscale, fără a fi informați în prealabil.

“Dreptul român abilitează entitățile publice să transmită date cu caracter personal caselor de asigurări de sănătate pentru a le permite acestora din urmă să stabilească calitatea de asigurat a persoanelor vizate. Datele respective privesc identificarea persoanelor (nume, prenume, adresă), însă nu cuprind date privind veniturile obținute”, conform sursei citate.

În hotărârea de joi, Curtea consideră că “cerința prelucrării corecte a datelor personale obligă o autoritate a administrației publice să informeze persoanele vizate despre transmiterea acestor date unei alte autorități a administrației publice în vederea prelucrării lor de către aceasta din urmă în calitate de destinatar al datelor menționate. Directiva impune expres ca orice eventuală limitare a obligației de informare să fie adoptată prin măsuri legislative”.

Curtea subliniază că legea română care prevede transmiterea gratuită a datelor personale către casele de asigurări de sănătate nu constituie o informare prealabilă care să permită scutirea operatorului de obligația de a informa persoanele de la care colectează datele. Astfel, legea în cauză nu definește nici informațiile transmisibile, nici modalitățile de efectuare a transmiterii, acestea figurând numai într-un protocol bilateral încheiat între administrația fiscală și casa de asigurări de sănătate.

“În ceea ce privește prelucrarea ulterioară a datelor transmise, directiva prevede că operatorul care prelucrează date trebuie să comunice persoanelor vizate informații cu privire la propria identitate, la scopul prelucrării, precum și orice alte informații suplimentare necesare pentru a asigura o prelucrare corectă a datelor. Printre aceste informații suplimentare figurează categoriile de date în cauză, precum și existența dreptului de acces și de rectificare”, se mai arată în documentul citat.

De asemenea, Curtea a observat că prelucrarea de către Casa Națională de Asigurări de Sănătate a datelor transmise de administrația fiscală presupunea informarea persoanelor vizate în legătură cu scopurile acestei prelucrări, precum și cu categoriile de date vizate. Însă, în cazul de față, casa de asigurări de sănătate nu a furnizat aceste informații.

“Curtea concluzionează că dreptul Uniunii se opune transmiterii și prelucrării de date personale între două autorități ale administrației publice a unui stat membru fără ca persoanele vizate să fi fost informate în prealabil despre această transmitere sau despre această prelucrare”, a stabilit CJUE.