Dans sa décision C-201/14, Smaranda Bara du 1er octobre 2015, la Cour de justice de l'Union européenne (CJUE) interprète l'obligation de traitement loyal des données personnelles comme l'exigence, pour l'administration, d'informer les personnes concernées préalablement au transfert des données personnelles à une autre administration en vue d'un traitement de ces données.

Cette affaire s'inscrit dans la logique européenne de protection des données personnelles, notamment après l'arrêt Google Spain du 13 mai 2014 et quelques jours avant l'arrêt Scherms du 6 octobre 2015 (voir notre actualité sur l'invalidation du « Safe Harbor »).

En l'espèce, la Mme Bara, citoyenne roumaine, s'oppose :
-    au Presedintele Casei Nationale de Asigurari de Sanatate (le président de la Caisse nationale de sécurité sociale) ;
-    à la Casa Nationala de Asigurari de Sanatate (Caisse nationale de sécurité sociale, « CNAS ») ;
-    et à l'Agentia Nationala de Administrare Fiscala (Agence nationale d'administration fiscale, l'« ANAF »).

Elle leur reproche, devant la  Curtea de Appel Cluj roumaine (Cour d'appel de Cluj), une méconnaissance de ses droits dans le traitement de certaines données. En effet, l'ANAF a transmis des données fiscales à la CNAS pour traitement. Suite au transfert d'informations, la CNAS avait exigé le paiement d'arriérés de contributions au régime d'assurance maladie.

La CJUE rappelle que l'administration doit respecter l'obligation de traitement loyal des données personnelles prévu par la directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Elle précise que cette obligation se traduit par un droit d'information à la personne dont les données sont transférées d'une administration publique à une autre en vue d'un traitement par cette dernière.

En l'espèce, l'existence d'une loi interne prévoyant le transfert de données entre deux administrations ne suffit pas à considérer que les personnes concernées sont tenues informées. En effet, au sens de loi roumaine, ces données n'incluaient pas les informations relatives aux revenus.

Pour assurer un traitement loyal des données, le responsable de la transmission d'information est tenu de communiquer des informations le concernant (identité, finalités du traitement, informations complémentaires).

La personne dont les données personnelles sont transférées doit être tenue informée de l'existence du traitement pour avoir accès à ces informations.

Ainsi, la Cour de Luxembourg affirme que « la directive 95/46/CE [s'oppose] à des mesures nationales (…) qui permettent à une administration publique d'un État membre de transmettre des données personnelles à une autre administration publique et leur traitement subséquent, sans que les personnes concernées n'aient été informées de cette transmission ou de ce traitement ».