TS UE o przekazywaniu danych osobowych między dwoma organami administracji publicznej

W wyroku z 1 października 2015 Trybunał Sprawiedliwości UE orzekł, e osoby, których dane osobowe są przekazywane pomiędzy dwoma organami administracji publicznej państwa członkowskiego i przetwarzane muszą być wcześniej o tym poinformowane.

Dyrektywa w sprawie przetwarzania danych osobowych¹ reguluje przetwarzanie danych osobowych w sytuacji, gdy stanowią one część zbioru danych lub mają stanowić jego część.

Smaranda Bara i wielu innych obywateli Rumunii pracują na własny rachunek. Rumuński organ administracji podatkowej przekazał informacje o dochodach zgłoszonych przez te osoby krajowej kasie ubezpieczeń zdrowotnych, która zażądała wpłaty zaległych składek na rzecz systemu ubezpieczeń zdrowotnych.

Osoby, o których mowa, zaskarżyły do Curtea de Apel Cluj (sądu apelacyjnego w Klużu, Rumunia) zgodność z prawem tego przekazania w świetle dyrektywy. Osoby te uważają, że ich dane zostały wykorzystane do celów innych niż cele, w jakich pierwotnie ujawniono je organowi administracji podatkowej, bez wcześniejszego poinformowania ich o tym.

Prawo rumuńskie umożliwia podmiotom publicznym przekazywanie danych osobowych kasom ubezpieczeń zdrowotnych w celu umożliwienia im ustalenia statusu osoby ubezpieczonej względem osób, których dane dotyczą. Dane te służą identyfikacji osób (imię, nazwisko i adres), lecz nie obejmują informacji o uzyskiwanych dochodach.

W tym kontekście Curtea de Apel Cluj zwrócił się w istocie do Trybunału Sprawiedliwości o ustalenie, czy prawo Unii stoi na przeszkodzie temu, aby organ administracji publicznej państwa członkowskiego przekazywał dane osobowe innemu organowi administracji publicznej w celu ich dalszego przetwarzania, bez informowania osób, których dane dotyczą o tymże przekazaniu i przetwarzaniu.

W ogłoszonym dzisiaj wyroku Trybunał Sprawiedliwości stwierdził, że wymóg rzetelnego przetwarzania danych osobowych zobowiązuje organ administracji publicznej do informowania osób, których dane dotyczą, że ich dane zostaną przekazane innemu organowi administracji publicznej w celu ich przetworzenia przez ów drugi organ będący odbiorcą tych danych. Dyrektywa wyraźnie wymaga, aby wszelkie ewentualne ograniczenia obowiązku informowania były przyjmowane w drodze ustawodawczej.

Rumuńska ustawa przewidująca nieodpłatne przekazywanie danych osobowych kasom ubezpieczeń zdrowotnych nie stanowi wcześniejszego poinformowania, które pozwalałoby na zwolnienie administratora danych z obowiązku poinformowania osób, od których uzyskuje dane. Wspomniana ustawa nie określa bowiem ani informacji, jakie mogą być przekazywane, ani zasad ich przekazywania, jako że znajdują się one jedynie w dwustronnym protokole zawartym pomiędzy organem administracji podatkowej i kasą ubezpieczeń zdrowotnych.

Jeżeli chodzi o dalsze przetwarzanie przekazanych danych, dyrektywa stanowi, że administrator danych musi poinformować osoby, których dane dotyczą o swojej tożsamości, o celach przetwarzania oraz o wszelkich dalszych okolicznościach koniecznych w celu zagwarantowania rzetelnego przetwarzania danych. Wśród owych dalszych informacji znajdują się kategorie potrzebnych danych oraz istnienie prawa wglądu do swoich danych oraz ich sprostowania.

Trybunał zauważył, że przetwarzanie przez krajową kasę ubezpieczeń zdrowotnych danych przekazanych przez organ administracji podatkowej wymagało poinformowania osób, których dane te dotyczyły o celach tego przetwarzania i o kategoriach potrzebnych danych. W omawianej sprawie kasa ubezpieczeń zdrowotnych nie dostarczyła tych informacji.

Trybunał orzekł, że prawo Unii stoi na przeszkodzie przekazywaniu danych osobowych pomiędzy dwoma organami administracji publicznej państwa członkowskiego oraz ich przetwarzaniu, bez uprzedniego informowania o tych działaniach osób, których dane dotyczą.

UWAGA: Odesłanie prejudycjalne pozwala sądom państw członkowskich, w ramach rozpatrywanego przez nie sporu, zwrócić się do Trybunału z pytaniem o wykładnię prawa Unii lub o ocenę ważności aktu Unii. Trybunał nie rozpoznaje sporu krajowego. Do sądu krajowego należy rozstrzygnięcie sprawy zgodnie z orzeczeniem Trybunału. Orzeczenie to wiąże w ten sam sposób inne sądy krajowe, które spotkają się z podobnym problemem.

¹Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281, s. 31).
Trybunał Sprawiedliwości UEhttp://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cp150110pl.pdf