Dans un arrêt du 1er octobre 2015, la Cour de justice de l’UE a considéré que l’exigence de traitement loyal de données personnelles oblige une administration à informer préalablement les personnes concernées du transfert de leurs données vers une autre administration afin qu’elle en fasse un traitement. Dans cette affaire, une femme roumaine, travailleur indépendant, s’était plainte que l’administration fiscale (Anaf) ait transmis les données relatives à ses revenus déclarés à l’organisme de sécurité sociale (Anas). Sur la base de ce transfert d’information, l’Anas avait exigé le paiement d’arriérés de contributions au régime d’assurance maladie. La femme avait contesté la légalité de ce transfert au regard de la directive européenne de 1995 sur la protection des données personnelles.
En réponse à un recours préjudiciel de la cour d’appel de Cluj en Roumanie, la cour de Luxembourg a conclu que les articles 10, 11 et 13 de la directive s’opposent à la transmission et au traitement des données personnelles entre deux administrations publiques sans que les personnes concernées n’en aient été informées au préalable. Si, dans cette affaire, le transfert était effectivement prévu par la loi roumaine, ce texte ne peut pas constituer en lui-même une information préalable permettant de dispenser le responsable du traitement de son obligation d’informer les personnes concernées des destinataires de ses données. La Cour estime par ailleurs que cette absence d’information ne relève pas de l’exception prévue à l’article 13 de la directive quand il s’agit de sauvegarder des intérêts économiques ou financiers, y compris dans les domaines monétaire, budgétaire et fiscal, ou d’exercer une mission de contrôle ou d’inspection, même à titre occasionnel. La Cour souligne, en outre, que la loi ne définit ni les informations transmissibles ni les modalités de transfert, celles-ci ne figurant que dans un protocole bilatéral conclu entre les deux organismes. Et concernant les données transmises, le responsable doit informer les personnes de sa propre identité, des finalités du traitement ainsi que de toute information complémentaire pour assurer un traitement loyal, telle que l’existence d’un droit d’accès ou de rectification. Or, comme le rappelle la Cour, ces droits ne peuvent pas être mis en œuvre si la personne n’est pas au courant de l’existence du traitement.