La cour d’appel de Cluj (Curtea de Apel Cluj, Roumanie) a introduit une demande de décision préjudicielle auprès de la Cour de Justice de l’Union Européenne portant sur l’interprétation des articles 10, 11 et 13 de la directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Cette directive prévoit que le responsable du traitement des données ou son représentant est soumis à une obligation d’information.
Par ailleurs, elle prévoit que les personnes dont les données sont collectées doivent être informées de l’identité du responsable du traitement de ces données, des finalités de ce traitement ainsi que de toute information supplémentaire nécessaire pour assurer un traitement loyal des données.

En l’espèce, l’administration fiscale roumaine a transmis les revenus déclarés de travailleurs indépendants à la Caisse nationale de sécurité sociale sans les avoir préalablement informés.
La cour d’appel Roumaine demande si le droit de l’Union s’oppose à ce transfert.

Le 1er octobre 2015, la Cour de Justice de l’Union Européenne répond à la demande de la cour d’appel Roumaine.

Selon la Cour, l’exigence de traitement loyal des données personnelles oblige une administration publique à informer les personnes concernées du fait que leurs données vont être transmises à une autre administration publique en vue de leur traitement par cette dernière en sa qualité de destinataire des données.

La Cour considère que la loi roumaine prévoyant la transmission gratuite des données personnelles aux caisses d’assurance maladie ne constitue pas une information préalable et ne dispense donc pas le responsable du traitement de son obligation d’informer les personnes auprès desquelles il collecte les données.

En conséquence, la Caisse aurait dû prévenir les personnes concernées qu’elle avait reçu leurs données de la part de l’administration fiscale et aurait dû les informer des finalités de ce traitement et des catégories de données concernées.
Or en l’espèce, la caisse d’assurance maladie n’a pas fourni ces informations.

La Cour conclut que « le droit de l’Union s’oppose à la transmission et au traitement de données personnelles entre deux administrations publiques d’un Etat membre sans que les personnes concernées n’en aient été informées au préalable. »