判决

2015年10月1日，欧洲法院就本案作出判决。在判决中，欧洲法院指出，克鲁日法院提出的前述问题，实质上是询问《95/46指令》第10、11和13条的规定是否应解释为，禁止诸如本案这样的欧盟成员国的相关国家措施，该措施允许欧盟成员国的相关公权力机关在未向数据主体告知，其将向另一公权力机关传输该数据主体的个人数据并进行后续处理的情况下，进行该数据传输和处理。

对此，欧洲法院认为，基于克鲁日法院提供的信息，可以认定，税务局向健保基金传输的税务数据系《95/46指令》第2条（a）项规定的个人数据，因为该数据是与已识别或可识别的自然人相关的信息。而税务局传输该数据以及健保基金之后处理该数据则构成该指令第2条（b）项规定的个人数据处理。依照《95/46指令》第二章的规定，所有个人数据处理首先必须遵守该指令第6条规定的数据质量原则。其次，还必须遵守该指令第7条列明的使数据处理合法化的标准之一。此外，数据控制者或其代表必须依照该指令第10和11条的要求提供信息，相关要求因数据是否从数据主体处收集而有所不同，且须受限于该指令第13条规定的例外情形。

就该指令第10条而言，该条规定数据控制者必须向数据主体（与其有关的数据被收集）提供该条（a）—（c）项列明的信息，除非数据主体已经获得这些信息。这些信息涉及数据控制者的身份、数据处理的目的以及任何为保证数据的公平处理所需的进一步的信息。根据该指令第10条（c）项的规定，“为保证数据的公平处理所需的进一步的信息”包括数据的接收方或接收方的类别，以及获得及更正与个人相关的数据的权利等信息。如同本案总法律顾问在其法律意见中指出的，数据控制者向数据主体告知其个人数据的处理这一要求至为重要，因为该要求将影响数据主体行使《95/46指令》第12条规定的获得及更正被处理的数据的权利，以及该指令第14条规定的反对对这些数据进行处理的权利。

据此，欧洲法院认为，《95/46指令》第6条有关公平处理个人数据的规定，要求公权力机关告知数据主体，其个人数据被传输给另一个公权力机关以便由后者进行处理。从克鲁日法院提供的信息来看，税务局并未告知斯马兰达·巴拉等人与其有关的数据被传输给健保基金。尽管罗马尼亚政府主张，罗马尼亚95/2006号法律要求，若相关信息为确定相关自由职业者是否适格被保险人所需，则税务局应向地区健保基金传输该信息。但欧洲法院认为，虽然罗马尼亚95/2006号法律明确规定，为确定相关个人是否适格被保险人所需的数据应由相关机关、公共机构或其他机构免费告知健保基金，但从克鲁日法院提供的解释可以清楚地看出，该条规定的数据并不包括与收入有关的数据，因为该法亦确认没有应税收入的个人也是适格的被保险人。因此，罗马尼亚95/2006号法律不能构成《95/46指令》第10条规定的能够使数据控制者免于对数据主体履行告知义务的“数据主体已经获得的信息”。在此情形下，欧洲法院无法认定涉案数据传输与《95/46指令》第10条的规定相符。(https://www.daowen.com)

接下来，欧洲法院对《95/46指令》第13条是否适用于本案进行了审查，并认为从该指令第13条第1款（e）项和（f）项可以清楚地看出，欧盟成员国可以限制该指令第10条规定的权利和义务的范围，只要该限制构成保护相关事项的必要措施，这些事项包括“欧盟成员国重大经济或财政利益，包括货币、预算及税收事项”以及“与同款（c）（d）和（e）项规定的情形（公共安全、对刑事犯罪或者违反受管制职业的道德规范的行为的预防、调查、侦查和起诉，以及欧盟成员国重大经济或财政利益，包括货币、预算及税收事项）下行使职务权力相关的即使是偶尔所为的监督、检查或监管职能”。不过，该指令第13条明确要求该限制通过立法措施进行。而在本案中，除了克鲁日法院提及的与收入有关的数据并非确定相关个人是否被保险人所需的个人数据这一事实之外，欧洲法院还注意到，罗马尼亚95/2006号法律仅规定了机关、公共机构或其他机构持有的个人收入数据的传输原则，而有关可传输信息的界定以及传输该信息的详细安排则规定于税务局和健保基金订立的《2007协议》（该协议并非官方公报的刊载对象）而非罗马尼亚法律之中。在此情形下，欧洲法院无法认定《95/46指令》第13条规定的、允许欧盟成员国免除该指令第10条规定的权利和义务的条件业已获得满足。

此外，《95/46指令》第11条第1款规定，并非从数据主体处获取数据的数据控制者，必须向数据主体提供该款（a）—（c）项列明的信息。这些信息涉及数据控制者的身份、数据处理的目的以及确保数据公平处理的进一步的信息等。而根据该指令第11条第1款（c）项的规定，前述进一步的信息中，包括相关数据的类别以及获取和更正相关数据的权利等信息。鉴此，本案健保基金在依照《95/46指令》第11条第1款（b）项和（c）项的规定，处理税务局向其传输的个人数据时，应向数据主体告知该处理的目的以及相关数据的类别。然而，从克鲁日法院提供的信息来看，健保基金并未向斯马兰达·巴拉等人提供《95/46指令》第11条第1款（a）—（c）项列明的信息。

综上，欧洲法院判决，《95/46指令》第10、11和13条的规定应解释为禁止诸如本案这样的欧盟成员国的相关国家措施，该措施允许欧盟成员国的相关公权力机关在未向数据主体告知其将向另一公权力机关传输该数据主体的个人数据，并进行后续处理的情况下进行该数据的传输和处理。