Saisie d’un renvoi préjudiciel par la Curtea de Apel Cluj (Roumanie), la Cour de justice de l’Union européenne a interprété les articles 10, 11 et 13 de la directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, lesquels portent, respectivement, sur l’information de la personne concernée et les exceptions et limitations aux droits de cette personne (Smaranda Bara e.a., aff. C-201/14). Dans l’affaire au principal, l’administration fiscale roumaine a transmis à la caisse de sécurité sociale les informations relatives aux revenus des requérants. Cette dernière a, par la suite, exigé le paiement d’arriérés de contributions au régime de l’assurance maladie. Les requérants ont contesté ce transfert et ont considéré que leurs données avaient été utilisées à des fins autres que celles pour lesquelles elles avaient initialement été communiquées à l’administration fiscale, sans leur information préalable. Saisie dans ce contexte, la juridiction de renvoi a interrogé la Cour sur le point de savoir si les articles 10, 11 et 13 de la directive doivent être interprétés en ce sens qu’ils s’opposent à des mesures nationales qui permettent à une administration publique d’un Etat membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n’aient été informées de cette transmission et de ce traitement. La Cour rappelle que la directive impose au responsable du traitement de fournir à la personne, dont les données sont collectées, les informations concernant son identité, les finalités du traitement et toute information supplémentaire nécessaire pour assurer un traitement loyal des données. Elle précise que cette exigence de traitement loyal oblige une administration publique à informer les personnes concernées de la transmission de ces données à une autre administration publique en vue de leur traitement par cette dernière. A cet égard, la Cour considère, en l’espèce, que le fait que la loi prévoit la transmission gratuite aux caisses d’assurance maladie des données personnelles concernant les assurés, par les institutions publiques, ne constitue pas une information préalable. Par ailleurs, la Cour relève que si la directive prévoit des limitations à l’obligation d’information préalable, ces dernières doivent être prises au moyen d’une mesure législative, ce qui n’est pas le cas en l’espèce. S’agissant du traitement des données reçues par la caisse de sécurité sociale, qui n’ont pas été collectées auprès de la personne concernée, la Cour rappelle que celle-ci a, également, une obligation d’information préalable envers les personnes dont les données sont collectées. Or, elle constate que le traitement, par la caisse de sécurité sociale, des données transmises n’a pas fait l’objet d’une information préalable des personnes concernées. Partant, la Cour conclut que les dispositions de la directive s’opposent à la transmission et au traitement de données personnelles entre 2 administrations publiques d’un Etat membre, sans que les personnes concernées n’aient été informées de cette transmission ou de ce traitement. (MS)
