Przetwarzanie danych osobowych

A A A

Skarżący w postępowaniu głównym prowadzą działalność gospodarczą. Dane dotyczące ich dochodów zostały przekazane rumuńskiej kasie ubezpieczeń zdrowotnych (dalej jako: CNAS) przez rumuńską agencję administracji podatkowej (dalej jako: ANAF). Na podstawie tych danych CNAS zażądała wpłaty zaległych składek na rzecz systemu ubezpieczeń zdrowotnych. Skarżący wnieśli do sądu skargę, w której podważają legalność przekazania danych podatkowych dotyczących ich dochodów w świetle dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Podnosili, że ich dane osobowe zostały przekazane i wykorzystane, na podstawie wewnętrznego protokołu, do celów innych, niż cele, w jakich ujawniono je ANAF, i to bez ich zgody i bez wcześniejszego poinformowania. Z postanowienia odsyłającego wynika, że podmioty publiczne są, na podstawie rumuńskiej ustawy Nr 95/2006 w sprawie reformy sektora zdrowotnego (dalej jako: ustawa Nr 95/2006), uprawnione do przekazywania danych osobowych kasom ubezpieczeń zdrowotnych w celu umożliwienia im ustalenia statusu osoby ubezpieczonej. Dane te służą identyfikacji osób (imię, nazwisko, osobisty numer identyfikacyjny, adres), lecz nie obejmują informacji o uzyskiwanych dochodach.

Poprzez pytanie prejudycjalne sąd odsyłający dążył do ustalenia, czy art. 10, 11 i 13 dyrektywy 95/46 należy interpretować w ten sposób, że te przepisy stoją na przeszkodzie środkom krajowym, które pozwalają organowi administracji publicznej państwa członkowskiego na przekazywanie danych osobowych innemu organowi administracji publicznej i na ich dalsze przetwarzanie, bez informowania osób, których dane dotyczą?

Dane podatkowe przekazane CNAS przez ANAF stanowią dane osobowe w rozumieniu art. 2 lit. a) dyrektywy 95/46 ponieważ są to „informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej” (wyrok Satakunnan Markkinapörssi i Satamedia, C 73/07, pkt 35). Zarówno przekazanie ich przez ANAF organowi odpowiedzialnemu za administrowanie bazą danych, w której są zgromadzone, jak też ich późniejsze przetwarzanie przez CNAS ma charakter „przetwarzania danych osobowych” w rozumieniu art. 2 lit. b) tej dyrektywy (wyroki: Österreichischer Rundfunk i in., C 465/00, C 138/01 i C 139/01, pkt 64; Huber, C 524/06, pkt 43).

Zgodnie z przepisami rozdziału II dyrektywy 95/46, pt. „Ogólne zasady legalności przetwarzania danych osobowych”, z zastrzeżeniem dozwolonych na mocy jej art. 13 odstępstw, każda operacja przetwarzania danych osobowych musi być zgodna, z jednej strony, z wyrażonymi w art. 6 tej dyrektywy zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w jej art. 7 tej dyrektywy (wyroki: Österreichischer Rundfunk i in., pkt 65; Huber, pkt 48; ASNEF i FECEMD, C 468/10 i C 469/10, pkt 26). Ponadto, na administratora danych lub jego przedstawiciela został nałożony obowiązek informacji. Zasady jego wykonywania określono w art. 10 i 11 dyrektywy 95/46 różnią się w zależności od tego czy te dane zostały uzyskane od osoby, której dotyczą bądź nie.

Przepis art. 10 dyrektywy 95/46 przewiduje, że administrator danych miał obowiązek przedstawienia osobie, której dane dotyczą i od której są gromadzone, informacji wymienionych w lit. a)–c) tego artykułu (z wyjątkiem przypadku, kiedy ta osoba informacje takie już posiada). Informacje te dotyczą tożsamości administratora danych, celów przetwarzania danych oraz wszelkich dalszych informacji potrzebnych w celu zagwarantowania rzetelnego przetwarzania danych. Wśród dodatkowych informacji potrzebnych w celu zapewnienia rzetelnego przetwarzania danych, art. 10 lit. c) wymieniono „odbiorców lub kategorie odbierających dane” oraz „istnienie prawa wglądu do […] danych [odnoszących się do osoby, której one dotyczą] oraz ich sprostowania.” Rzecznik generalny zaznaczył (pkt 74 opinii), że ten wymóg informowania osób, których dotyczy przetwarzanie ich danych osobowych, jest tym bardziej istotny, iż stanowi warunek konieczny wykonywania przez te osoby prawa dostępu do przetwarzanych danych i ich sprostowania (art. 12 dyrektywy 95/46) oraz ich prawa sprzeciwu wobec ich przetwarzania (art. 14 tej dyrektywy).

Zdaniem TS z powyższego wynika, że wymóg rzetelnego przetwarzania danych osobowych przewidziany w art. 6 dyrektywy 95/46 zobowiązuje organ administracji publicznej do informowania osób, których dane dotyczą o ich przekazaniu innemu organowi administracji publicznej w celu ich przetworzenia przez ten drugi organ będący odbiorcą tych danych.

Skarżący nie zostali poinformowani przez ANAF o przekazaniu CNAS dotyczących ich danych osobowych. Jednak rząd rumuński podnosił, że ANAF ma obowiązek, m.in. na podstawie art. 315 ustawy Nr 95/2006 przekazywania regionalnym kasom ubezpieczenia zdrowotnego informacji, potrzebnych w celu ustalenia przez CNAS statusu osoby ubezpieczonej, w odniesieniu do osób uzyskujących dochody z pracy na własny rachunek. Przepis ten przewiduje, że „dane niezbędne do ustalenia statusu osoby ubezpieczonej zostaną nieodpłatnie przekazane kasom chorych przez organy, instytucji publicznych i innych instytucji na podstawie protokołu”. Jednak dane niezbędne do ustalenia statusu osoby ubezpieczonej w rozumieniu tego przepisu nie obejmują danych dotyczących dochodów, ponieważ ustawa uznaje, iż status osoby ubezpieczonej mają również osoby nieosiągające dochodów podlegających opodatkowaniu. Zdaniem TS w tych okolicznościach art. 315 ustawy Nr 95/2006 nie może stanowić, w rozumieniu art. 10 dyrektywy 95/46, wcześniejszego poinformowania pozwalającego na zwolnienie administratora danych z obowiązku poinformowania osób, od których uzyskuje dane dotyczące ich dochodów, o odbiorcach tych danych. W konsekwencji TS uznał, że sporne przekazanie danych nie odbyło się zgodnie z art. 10 dyrektywy 95/46.

Z art. 13 ust. 1 lit. e) i f) dyrektywy wynika, że państwa członkowskie mogą ograniczyć zakres praw i obowiązków przewidzianych w jej art. 10, wówczas gdy takie ograniczenie stanowi środek konieczny dla zabezpieczenia „ważnego interesu ekonomicznego lub finansowego państwa członkowskiego […], łącznie z kwestiami pieniężnymi, budżetowymi i podatkowymi” oraz „funkcji kontrolnych, inspekcyjnych i regulacyjnych związanych, nawet sporadycznie, z wykonywaniem władzy publicznej w przypadkach wymienionych w lit. c)–e)”. Jednak z art. 13 wynika wymóg, aby te ograniczenia były przyjmowane w drodze środków ustawodawczych. Tymczasem, art. 315 ustawy Nr 95/2006 przewiduje jedynie przekazanie danych osobowych niezbędnych do ustalenia statusu osoby ubezpieczonej będących w posiadaniu organów, instytucji publicznych i innych instytucji. Ponadto, definicja informacji, jakie mogą być przekazywane oraz zasady, według których to się odbywa nie zostały określone w drodze ustawy, lecz w niepublikowanym oficjalnie protokole z 2007 r. zawartym pomiędzy ANAF i CNAS. Zdaniem TS w tych okolicznościach nie można uznać, że spełnione zostały przesłanki określone w art. 13 dyrektywy 95/46 tak, aby państwo członkowskie mogło wprowadzić odstępstwa od praw i obowiązków wynikających z art. 10 tej dyrektywy.

Przepis art. 11 ust. 1 dyrektywy 95/46 przewiduje, że gdy dane uzyskiwane są z innych źródeł niż osoba, której dane dotyczą administrator danych musi dostarczyć tej osobie informacje wymienione w lit. a)–c). Odnoszą się one do tożsamości administratora, celów przetwarzania danych oraz wszelkich dalszych informacji koniecznych w celu zagwarantowania rzetelnego przetwarzania danych. Wśród tych dalszych informacji art. 11 ust. 1 lit. c) wymienia wyraźnie „kategorie potrzebnych danych” oraz „istnienie prawa wglądu do swoich danych oraz ich sprostowania”. Zdaniem TS z powyższego wynika, że zgodnie z art. 11 ust. 1 lit. b) i c) dyrektywy 95/46 w okolicznościach rozpatrywanej sprawy przetwarzanie przez CNAS danych przekazanych przez ANAF wymagało, aby osoby, których te dane dotyczyły były informowane o celach tego przetwarzania i o kategoriach potrzebnych danych. Tymczasem CNAS nie dostarczyła skarżącym informacji wymienionych w art. 11 ust. 1 lit. a – c) tej dyrektywy. Trybunał wskazał, że zgodnie z art. 11 ust. 2 dyrektywy 95/46 ust. 1 tego przepisu nie ma zastosowania m.in., jeżeli gromadzenie lub ujawnianie informacji jest przewidziane przez ustawę, przy czym państwa członkowskie muszą wówczas zapewnić odpowiednie środki zabezpieczające. Tym samym przepisy ustawy Nr 95/2006, na które powołał się rząd rumuński oraz protokół z 2007 r. nie mogą być objęte odstępstwami wynikającymi z art. 11 ust. 2 tej dyrektywy ani też z jej art. 13.

Reasumując TS orzekł, że przepis art. 10, 11 i 13 dyrektywy 95/46 należy interpretować w ten sposób, że stoją one na przeszkodzie środkom krajowym, takim jak rozpatrywane w postępowaniu głównym, które pozwalają organowi administracji publicznej państwa członkowskiego na przekazywanie danych osobowych innemu organowi administracji publicznej i na ich dalsze przetwarzanie, bez informowania osób, których dane dotyczą o tym przekazaniu i przetwarzaniu.

Wyrok TS z 1.10.2015 r., Bara i in., C 201/14

Źródło: www.curia.eu

opracowała: dr Ewa Skibińska - adiunkt na WPiA UKSW w Warszawie

Ocena artykułu:
Oceniono 0 razy
Oceniłeś już ten artykuł.
Artykuł został oceniony.
Podziel się ze znajomymi
Artykuł:
Przetwarzanie danych osobowych
Ewa Skibińska (oprac.)
Do:
Od:
Wiadomość:
Zaloguj się lub zarejestruj, aby dodać komentarz.
 
Wyrok V CSK 283/10
Obliczanie terminu przedawnienia roszczenia o zachowek
Zamów
 

Prenumerata

Moduł tematyczny