Transmission de fichiers de données personnelles : arrêt de la Cour de Justice de l’Union Européenne.

Les requérants reprochaient à l’ANAF (agence nationale d’administration fiscale ) d’avoir transféré leurs données personnelles, incluant le montant de leurs revenus, à la CNAS (caisse nationale de sécurité sociale), sans leur consentement exprès et sans information préalable.

Sur la base de ces données, la CNAS a exigé le paiement d’arriérés de contributions au régime d’assurance maladie.

La Cour relève que la loi roumaine n° 95/2006 autorise les entités publiques à transmettre des données à caractère personnel aux caisses d’assurance maladie afin de permettre à ces dernières d’établir la qualité d’assuré des personnes concernées.

Dans la mesure où la loi roumaine reconnait également la qualité d’assuré aux personnes sans revenus imposables, les données nécessaires à l’établissement de la qualité d’assuré n’incluaient pas celles relatives aux revenus.

La transmission des données par l’ANAF constitue en conséquence une violation des dispositions de l’article 10 de la Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995.

L’ANAF et la CNAS avaient invoqué l’article 13 de la Directive 95/46 qui prévoit que les États membres peuvent limiter la portée des obligations et des droits prévus à l’article 10 de la même directive lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder « un intérêt économique ou financier important d’un État membre [...] y compris dans les domaines monétaire, budgétaire et fiscal » ainsi qu’« une mission de contrôle, d’inspection ou de réglementation relevant, même à titre occasionnel, de l’exercice de l’autorité publique, dans les cas visés aux points c), d) et e) ».

Toutefois, la Cour rappelle que ledit article 13 exige expressément que de telles limitations soient prises au moyen de mesures législatives.

Or, en l’espèce, les modalités de mise en œuvre de la transmission des informations ressortaient d’un protocole conclu en 2007 entre l’ANAF et la CNAS et non d’une mesure législative. L’exception de l’article 13 ne pouvait donc pas s’appliquer.

L’ANAF a ensuite avancé l’article 11 de la Directive 95/46, prévoyant que lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit fournir à cette dernière les informations concernant l’identité du responsable du traitement, les finalités du traitement ainsi que toutes les informations supplémentaires nécessaires pour assurer un traitement loyal des données. Parmi ces informations supplémentaires, l’article 11, paragraphe 1, sous c), de la Directive mentionne expressément « les catégories de données concernées » ainsi que « l’existence d’un droit d’accès aux données la concernant et de rectification de ces données ».

Mais il s’est avéré que la CNAS, qui n’avait pas recueilli elle-même les données, n’avait pas fourni ces informations.

Conclusion : les articles 10, 11 et 13 de la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 doivent donc être interprétés en ce sens qu’ils s’opposent à des mesures nationales qui permettent à une administration publique d’un État membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n’aient été informées de cette transmission ou de ce traitement.