–

za Deutsche Post AG U. Möllenhoffem, Rechtsanwalt,

–

za Hauptzollamt Köln W. Liebem, M. Greve-Giesowem a M. Hageroth, jako zmocněnci,

–

za španělskou vládu S. Jiménez Garcíou a V. Ester Casas, jako zmocněnci,

–

za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s G. Albenziem, avvocato dello Stato,

–

za maďarskou vládu M. Z. Fehérem, G. Koósem a R. Kissné Berta, jako zmocněnci,

–

za Evropskou komisi B.-R. Killmannem a F. Clotuche-Duvieusart, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká čl. 24 odst. 1 druhého pododstavce prováděcího nařízení Komise (EU) 2015/2447 ze dne 24. listopadu 2015, kterým se stanoví prováděcí pravidla k některým ustanovením nařízení Evropského parlamentu a Rady (EU) č. 952/2013, kterým se stanoví celní kodex Unie (Úř. věst. 2015, L 343, s. 558).

2

Tato žádost byla podána v rámci sporu mezi společností Deutsche Post AG a Hauptzollamt Köln (hlavní celní úřad v Kolíně, Německo) (dále jen „hlavní úřad“) ohledně povahy a rozsahu osobních údajů třetích osob, které musí být předloženy, aby podnik požíval statusu oprávněného hospodářského subjektu podle článku 39 nařízení (EU) č. 952/2013 Evropského parlamentu a Rady ze dne 9. října 2013, kterým se stanoví celní kodex Unie (Úř. věst. 2013, L 269, s. 1, dále jen „celní kodex“).

3

Hlava I celního kodexu obsahuje kapitolu 2, nadepsanou „Práva a povinnosti osob v souvislosti s celními předpisy“, která zahrnuje oddíl 4, nadepsaný „Oprávněný hospodářský subjekt“ (dále jen „AEO“), jehož součástí jsou články 38 až 41.

4

Článek 38 tohoto kodexu stanoví:

„1.   Hospodářský subjekt, který je usazen na celním území Unie a který splňuje kritéria stanovená v článku 39, může požádat o status [AEO].

Tento status, který podléhá kontrole, udělí celní orgány případně po konzultaci s jinými příslušnými orgány.

2.   Status [AEO] spočívá v těchto typech povolení:

[…]

5.   Na základě uznání statusu [AEO] pro celní zjednodušení a za předpokladu splnění požadavků pro konkrétní typ zjednodušení stanovený v celních předpisech povolí celní orgány danému subjektu využívat výhod plynoucích z tohoto zjednodušení. Celní orgány nepřezkoumávají znovu ta kritéria, která již byla přezkoumána při udělení statusu [AEO].

6.   [AEO] uvedený v odstavci 2 podléhá příznivějšímu zacházení, než je tomu v případě jiných hospodářských subjektů, pokud jde o celní kontroly podle typu uděleného povolení, včetně menšího počtu fyzických kontrol a kontrol dokumentů.

[…]“

5

Článek 39 uvedeného kodexu stanoví:

„Kritérii pro udělení statusu [AEO] jsou:

[…]“

6

Podle čl. 41 prvního pododstavce téhož kodexu:

„Komise stanoví v prováděcích aktech podmínky pro uplatňování kritérií uvedených v článku 39.“

7

Hlava I prováděcího nařízení 2015/2447 obsahuje kapitolu 2, nadepsanou „Práva a povinnosti osob v souvislosti s celními předpisy“, která zahrnuje oddíl 3, nadepsaný „Oprávněný hospodářský subjekt“, jehož součástí jsou články 24 až 35.

8

Článek 24 odst. 1 druhý pododstavec tohoto nařízení stanoví:

„Pokud žadatel není fyzická osoba, považuje se kritérium stanovené v čl. 39 písm. a) [celního] kodexu za splněné, pokud se za poslední tři roky žádná z níže vyjmenovaných osob nedopustila závažného či opakovaného porušení celních a daňových předpisů, ani nemá žádný záznam, pokud jde o závažné trestné činy související s její hospodářskou činností:

9

Bod 9 odůvodnění nařízení Komise v přenesené pravomoci (EU) 2016/341 ze dne 17. prosince 2015, kterým se doplňuje nařízení č. 952/2013, pokud jde o přechodná pravidla k některým ustanovením celního kodexu Unie, pokud příslušné elektronické systémy dosud nejsou v provozu, a kterým se mění nařízení Komise v přenesené pravomoci (EU) 2015/2446 (Úř. věst. 2016, L 69, s. 1), uvádí:

„Vzhledem k tomu, že elektronický systém, který je nezbytný pro uplatňování ustanovení [celního] kodexu, jež upravují jak žádost o udělení statusu [AEO], tak povolení tohoto statusu, se ještě musí modernizovat, je třeba, aby byly v současné době používané způsoby v listinné i elektronické podobě nadále používány do doby, než bude systém modernizován.“

10

Článek 1 tohoto nařízení stanoví:

„1.   Tímto nařízením se stanoví přechodná opatření ke způsobům výměny a uchovávání údajů uvedeným v článku 278 [celního] kodexu, dokud nebudou v provozu elektronické systémy, které jsou pro uplatňování [tohoto] kodexu nezbytné.

2.   Požadavky na údaje, formáty a kódy, které se mají používat po přechodná období stanovená v tomto nařízení, v nařízení [Komise] v přenesené pravomoci (EU) 2015/2446 [ze dne 28. července 2015, kterým se doplňuje nařízení č. 952/2013, pokud jde o podrobná pravidla k některým ustanovením celního kodexu (Úř. věst. 2015, L 343, s. 1),] a v prováděcím nařízení [2015/2447] jsou stanoveny v přílohách tohoto nařízení.“

11

Nařízení v přenesené pravomoci 2016/341 obsahuje kapitolu 1, nadepsanou „Obecná ustanovení“, která zahrnuje oddíl 3, nadepsaný „Žádost o status AEO“, v jehož rámci článek 5 tohoto nařízení stanoví:

„1.   Do data modernizace systému AEO uvedeného v příloze prováděcího rozhodnutí [Komise] 2014/255/EU [ze dne 29. dubna 2014, kterým se zavádí pracovní program pro celní kodex Unie (Úř. věst. 2014, L 134, s. 46),] mohou celní orgány povolit, aby v souvislosti se žádostmi a rozhodnutími týkajícími se AEO nebo jakýmikoli následnými událostmi, které mohou mít vliv na původní žádost či rozhodnutí, byly použity jiné způsoby než metody elektronického zpracování dat.

2.   V případech uvedených v odstavci 1 platí, že:

[…]“

12

Příloha 6 uvedeného nařízení obsahuje část nadepsanou „Vysvětlivky“. Bod 19 těchto vysvětlivek, týkající se názvu, data a podpisu žadatele, uvádí mimo jiné toto:

„[…]

Počet příloh: žadatel uvede tyto obecné údaje:

[…]

[…]“

13

Článek 2 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 335) stanovil:

„Pro účely této směrnice se rozumí:

[…]“

14

Článek 6 této směrnice zněl následovně:

„1.   Členské státy stanoví, že osobní údaje musejí být:

[…]

2.   Dodržování odstavce 1 zajistí správce.“

15

Článek 7 uvedené směrnice stanovil:

„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:

[…]

[…]“

16

Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) vstoupilo v platnost dne 24. května 2016. Směrnici 95/46 zrušuje s účinkem ode dne 25. května 2018.

17

Článek 4 tohoto nařízení obsahuje mimo jiné následující definice:

„Pro účely tohoto nařízení se rozumí:

[…]“

18

Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[…]

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

19

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, stanoví:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]

[…]

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

Účel zpracování musí vycházet z tohoto právního základu […] Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, [jak] stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

[…]“

20

Ustanovení § 139a odst. 1 Abgabenordnung (německý daňový řád, dále jen „AO“), ve znění použitelném na spor v původním řízení, stanoví:

„Spolkový ústřední daňový úřad přidělí každé osobě povinné k dani za účelem jednoznačné identifikace v daňovém řízení jednotný a trvalý údaj (identifikační údaj); osoba povinná k dani nebo třetí strana pověřená předáním údajů této osoby povinné k dani finančním úřadům je povinna tento identifikační údaj uvádět ve svých žádostech, přiznáních či sděleních. Tento identifikační údaj je tvořen řadou čísel, která nesmí být sestavena ani odvozena z jiných údajů o osobě povinné k dani; poslední v této řadě je kontrolní číslo […]“

21

Ustanovení § 139b AO, nadepsaného „Identifikační číslo“, stanoví:

„1)   Fyzické osobě nelze přidělit více než jedno identifikační číslo […]

2)   Finanční úřady smějí shromažďovat a používat identifikační čísla jen tehdy, když je to nezbytné k plnění jejich zákonných povinností nebo když shromažďování nebo používání identifikačních čísel výslovně povoluje nebo nařizuje určitý právní předpis. Jiné veřejné nebo neveřejné subjekty smějí

[…]“

22

Ustanovení § 38 odst. 1 a 3 Einkommensteuergesetz (zákon o dani z příjmu, dále jen „EStG“) ve znění použitelném na spor v původním řízení, zní takto:

„1)   U příjmů ze závislé činnosti se daň z příjmu vybere srážkou ze mzdy (daň ze mzdy), pokud zaměstnavatel mzdu vyplatí […]

[…]

3)   Daň ze mzdy strhává zaměstnavatel zaměstnanci ze mzdy při každé výplatě.“

23

Podle § 39 odst. 1 EStG, nadepsaného „Údaje pro výpočet srážkové daně ze mzdy“:

„Za účelem provedení srážky daně ze mzdy se na žádost zaměstnance generují údaje pro výpočet srážkové daně ze mzdy […]“

24

V souladu s § 39e EStG, nadepsaným „Postup při generování a uplatňování elektronických údajů pro výpočet srážkové daně ze mzdy“:

„1)   Spolkový ústřední daňový úřad generuje pro každého zaměstnance, a to zásadně automatizovaným postupem, daňovou třídu a v I. až IV. daňové třídě počet nezdanitelných částí základů daně za vyživované dítě […] jako údaje pro výpočet srážkové daně ze mzdy (§ 39 odst. 4 první věta body 1 a 2) […] Pokud údaje pro výpočet srážkové daně ze mzdy generuje finanční úřad podle § 39, sdělí je Spolkovému ústřednímu daňovému úřadu, aby je tento mohl poskytnout za účelem jejich automatizovaného vyhledávání ze strany zaměstnavatele […]

2)   Spolkový ústřední daňový úřad uchovává údaje pro výpočet srážkové daně ze mzdy za účelem umožnění automatizovaného vyhledávání údajů pro výpočet srážkové daně ze mzdy zaměstnavatelům, přičemž u nich uvádí identifikační číslo a pro každou osobu povinnou k dani pak rovněž následující údaje, vedle údajů uvedených v § 139b odst. 3 [AO]:

[…]

4)   Zaměstnanec je povinen každému svému zaměstnavateli při nástupu do zaměstnání sdělit za účelem získání údajů pro výpočet srážkové daně ze mzdy

[…]

Zaměstnavatel si musí na začátku zaměstnaneckého poměru vyhledat elektronické údaje pro výpočet srážkové daně ze mzdy pro dotyčného zaměstnance u Spolkového ústředního daňového úřadu prostřednictvím dálkového přenosu dat a převzít je na mzdový účet zaměstnance.“

25

Společnost Deutsche Post měla status schváleného příjemce a schváleného odesílatele a povolení pro používání souborné jistoty, které znamenají zjednodušení v rámci celního režimu Unie.

26

Vzhledem k tomu, že celní kodex změnil individuální podmínky udělování povolení v oblasti cel, požádal hlavní úřad dopisem ze dne 19. dubna 2017 společnost Deutsche Post o zodpovězení dotazníku se sebehodnocením, v němž měla přesně identifikovat členy poradních výborů a dozorčích rad, hlavní vedoucí pracovníky (výkonné ředitele, vedoucí oddělení, hlavní účetní, vedoucí celních oddělení apod.) a osoby odpovědné za celní záležitosti nebo ty, které je vyřizují, a to mimo jiné předáním daňových identifikačních čísel každé z těchto fyzických osob a údajů o jejich příslušných daňových úřadech.

27

Hlavní úřad společnosti Deutsche Post sdělil, že pokud nebude účinně spolupracovat, nebude možné určit, zda jsou splněny podmínky povolení stanovené v celním kodexu a že v tom případě, nebo pokud tyto podmínky již nejsou splněny, jí odejme povolení, která má.

28

Žalobou podanou k předkládajícímu soudu, kterým je Finanzgericht Düsseldorf (finanční soud v Düsseldorfu, Německo), napadá Deutsche Post povinnost předložit hlavnímu úřadu daňová identifikační čísla dotčených osob a údaje o jejich příslušných daňových úřadech.

29

Poukazuje na to, že okruh osob v jejím podniku dotčených otázkami položenými hlavním úřadem je velmi široký, část těchto osob není ochotna dát souhlas k předání osobních údajů, které se jich týkají, a tento okruh je širší než okruh osob uvedených v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447. Má za to, že situace jejích zaměstnanců z hlediska daně z příjmu neumožňuje posoudit, zda v rámci její hospodářské činnosti došlo k závažným či opakovaným porušením celních nebo daňových předpisů nebo závažným trestným činům. Podle jejího názoru není shromažďování daňových identifikačních čísel ani nezbytné, ani přiměřené pro určení její spolehlivosti z hlediska celního práva, jelikož ověření osobní daňové situace všech dotčených osob je ve vztahu k tomuto cíli nepřiměřené.

30

Hlavní úřad navrhuje tuto žalobu zamítnout. Poukazuje především na to, že předání daňových identifikačních čísel je nezbytné pro jednoznačnou identifikaci dotčených osob v rámci žádosti o informace, kterou podává na příslušný daňový úřad, že k výměně informací v jednotlivých případech dochází pouze tehdy, pokud má uvedený úřad informace o závažných a opakovaných porušeních daňových předpisů, přičemž odložené věci v řízení o uložení správních peněžitých sankcí nebo odložená trestní stíhání se nezohledňují, a že opakovaná porušení těchto předpisů se zohledňují pouze v případě, že je opakování nepřiměřené charakteru a rozsahu podnikatelské činnosti žadatele o povolení. Domnívá se, že okruh osob dotčených položenými otázkami je v souladu s celními předpisy Unie.

31

Podle předkládajícího soudu závisí řešení sporu v původním řízení na výkladu čl. 24 odst. 1 druhého pododstavce prováděcího nařízení 2015/2447, vykládaného ve světle článku 8 Listiny základních práv Evropské unie a nařízení 2016/679, jelikož daňová identifikační čísla dotčených osob a údaje o jejich příslušných daňových úřadech představují osobní údaje.

32

Klade si otázku, zda předávání takových údajů představuje zákonné zpracování z hlediska prováděcího nařízení 2015/2447. Kromě toho pochybuje o nezbytnosti použití osobních údajů zaměstnanců a členů dozorčí rady společnosti Deutsche Post, které byly shromážděny pro účely výběru daně z příjmů formou srážky ze mzdy.

33

Předkládající soud má za to, že osobní údaje těchto zaměstnanců nesouvisí přímo s posouzením spolehlivosti společnosti Deutsche Post z hlediska ustanovení celního práva a nemají žádný vztah k její hospodářské činnosti.

34

Táže se, zda s ohledem na čl. 8 odst. 1 Listiny základních práv a na zásadu proporcionality může celní orgán požadovat takové osobní údaje, jako jsou daňová identifikační čísla dotyčných osob a údaje o daňových úřadech příslušných k vyměření daně z příjmu těchto osob. Poukazuje na to, že členové dozorčí rady nejsou zmíněni v příloze 6 nařízení v přenesené pravomoci 2016/341 a že stejně jako vedoucí oddělení a hlavní účetní nejsou odpovědní za vyřizování záležitostí týkajících se celních předpisů.

35

Za těchto podmínek se Finanzgericht Düsseldorf (finanční soud v Düsseldorfu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Musí být čl. 24 odst. 1 druhého pododstavce prováděcího nařízení [2015/2447] vykládán v tom smyslu, že celnímu orgánu umožňuje požadovat od žadatele sdělení daňových identifikačních čísel, která pro účely výběru daně z příjmu přidělil Spolkový ústřední daňový úřad, a finančních úřadů příslušných k vyměření daně z příjmu v případě členů dozorčí rady žadatele, jakož i jeho výkonných ředitelů, vedoucích oddělení, vedoucích účtárny, vedoucích celního oddělení a osob odpovědných za celní záležitosti a osob celní záležitosti vyřizujících?“

36

Zúčastněné strany, s výjimkou Komise, se ve svých vyjádřeních k položené otázce opírají o nařízení 2016/679, na které odkazuje rovněž předkládající soud.

37

Komise v tomto ohledu uvádí, že vzhledem k tomu, že se skutkové okolnosti v původním řízení odehrály v dubnu 2017, použije se na vyřešení sporu v původním řízení směrnice 95/46.

38

Vzhledem k určovací povaze žaloby k vnitrostátnímu soudu (Feststellungsklage) však není vyloučeno, že toto nařízení je pro vyřešení sporu v původním řízení použitelné ratione temporis, přičemž jednání neumožnilo tento bod vyjasnit.

39

Na položenou otázku je tedy třeba odpovědět s ohledem jak na směrnici 95/46, tak na nařízení 2016/679.

40

Svou otázkou se předkládající soud v podstatě táže, zda čl. 24 odst. 1 druhý pododstavec prováděcího nařízení 2015/2447, vykládaný ve světle směrnice 95/46 a nařízení 2016/679, musí být vykládán v tom smyslu, že celní orgány mohou požadovat od žadatele o status AEO sdělení daňových identifikačních čísel, přidělených pro účely výběru daně z příjmu, členů jeho dozorčí rady a jeho zaměstnanců zastávajících pozice výkonných ředitelů, vedoucích oddělení, vedoucích účtárny a vedoucích celního oddělení, včetně osob odpovědných za celní záležitosti a osob celní záležitosti vyřizujících, jakož i údajů o daňových úřadech příslušných ve vztahu ke všem těmto osobám.

41

Zaprvé je třeba připomenout, že čl. 24 odst. 1 druhý pododstavec nařízení 2015/2447 stanoví, že pokud žadatel o status AEO není fyzická osoba, považuje se kritérium stanovené v čl. 39 písm. a) celního kodexu za splněné, pokud se za poslední tři roky žádná z osob, které označuje, nedopustila závažného či opakovaného porušení celních a daňových předpisů, ani nemá žádný záznam, pokud jde o závažné trestné činy související s její hospodářskou činností.

42

Jedná se pouze o žadatele, osobu, která je pověřena jeho vedením, nebo která vykonává kontrolu nad jeho řízením, a zaměstnance odpovědného za celní záležitosti žadatele. Podle znění tohoto ustanovení je tento seznam taxativní.

43

Nelze tedy připustit, aby byl čl. 24 odst. 1 druhý pododstavec prováděcího nařízení 2015/2447 vykládán tak, že se vztahuje na jiné fyzické osoby, než ty, které jsou pověřeny vedením žadatele, vykonávají kontrolu nad jeho řízením nebo jsou odpovědné za jeho celní záležitosti. Toto ustanovení se tedy netýká členů poradních výborů a dozorčích rad právnické osoby, vedoucích oddělení, s výjimkou těch, kteří jsou odpovědní za celní záležitosti žadatele, vedoucích účtárny a osob vyřizujících celní záležitosti.

44

Od výkonných ředitelů lze vyžadovat dodržování požadavků stanovených v uvedeném ustanovení, pokud v takové situaci, o jakou se jedná v původním řízení, musí být považováni za osoby, které jsou pověřeny vedením žadatele nebo které vykonávají kontrolu nad jeho řízením.

45

Je pravda, že nařízení v přenesené pravomoci 2016/341 v bodě 19 vysvětlivek uvedených v příloze 6 stanoví, že žadatel o status AEO uvede, v příloze k jím vyplněnému formuláři žádosti o tento status, jména a funkce širšího okruhu fyzických osob, než je uveden v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447.

46

V tomto ohledu však stačí konstatovat, že nařízení v přenesené pravomoci 2016/341 nelze vykládat tak, že jeho účelem či účinkem je odchýlit se od čl. 41 prvního pododstavce celního kodexu, podle něhož Komise stanoví v prováděcích aktech podmínky pro uplatňování kritérií uvedených v článku 39 tohoto kodexu, která musí být posouzena za účelem určení, zda žadateli může být udělen status AEO.

47

Nařízení v přenesené pravomoci 2016/341 tedy nemůže mít vliv na působnost čl. 24 odst. 1 druhého pododstavce prováděcího nařízení 2015/2447.

48

Kromě toho okolnost, že toto ustanovení vyžaduje dodržení požadavků, které stanoví, od „osoby“, která je pověřena vedením žadatele nebo která vykonává kontrolu nad jeho řízením, a „zaměstnance“ odpovědného za celní záležitosti žadatele, nemůže vést k závěru, že se tyto požadavky týkají pouze jediné osoby, která je pověřena vedením žadatele nebo která vykonává kontrolu nad jeho řízením, a pouze jediného zaměstnance odpovědného za jeho celní záležitosti.

49

Nelze totiž vyloučit, že v rámci organizace podniku je pověřeno jeho společným vedením několik fyzických osob nebo že několik fyzických osob společně vykonává kontrolu nad jeho řízením a že několik dalších fyzických osob odpovídá za jeho celní záležitosti, zejména na územním základě.

50

Fyzické osoby uvedené v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447 jsou tedy všechny ty, které jsou v rámci organizace žadatele pověřeny jeho vedením nebo vykonávají kontrolu nad jeho řízením, jakož i ty, které jsou odpovědné za jeho celní záležitosti.

51

Zadruhé, aby mohly celní orgány odpovědět na žádost o status AEO, toto ustanovení znamená, že je jim umožněn přístup k údajům umožňujícím zjistit, zda se žádná z fyzických osob, které toto ustanovení označuje, nedopustila závažného či opakovaného porušení celních nebo daňových předpisů ani nemá žádný záznam, pokud jde o závažné trestné činy související s její hospodářskou činností.

52

V projednávaném případě německé celní orgány požadují sdělení daňových identifikačních čísel fyzických osob uvedených v bodě 50 tohoto rozsudku a údajů o daňových úřadech příslušných ve vztahu k těmto osobám.

53

V takové situaci je důležité, aby v případě, že praxe těchto orgánů s sebou nese zpracování osobních údajů ve smyslu čl. 2 písm. a) směrnice 95/46 nebo čl. 4 bodu 2 nařízení 2016/679, byla respektována unijní právní úprava týkající se ochrany osobních údajů.

54

V tomto ohledu tato právní úprava vyžaduje, aby se respektování práva na soukromý život v souvislosti se zpracováním takových údajů vztahovalo na veškeré informace o identifikované nebo identifikovatelné fyzické osobě (v tomto smyslu viz rozsudky ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert, C‑92/09 a C‑93/09, EU:C:2010:662, bod 52, jakož i ze dne 17. října 2013, Schwarz, C‑291/12, EU:C:2013:670, bod 26).

55

Z judikatury Soudního dvora rovněž plyne, že daňové údaje představují „osobní údaje“ ve smyslu čl. 2 písm. a) směrnice 95/46 (v tomto smyslu viz rozsudek ze dne 1. října 2015, Bara a další, C‑201/14, EU:C:2015:638, bod 29, jakož i ze dne 27. září 2017, Puškár, C‑73/16, EU:C:2017:725, bod 41).

56

Daňové identifikační číslo je již svou povahou daňový údaj, který se vztahuje k identifikované nebo identifikovatelné fyzické osobě, a tudíž osobní údaj. Kromě toho kvůli vztahu mezi daňovým identifikačním číslem přesně identifikované osoby a informací o příslušném daňovém úřadu takové osoby, který vytvořily celní orgány, musí být tato informace rovněž považována za osobní údaj.

57

Jakékoli zpracování osobních údajů přitom musí být v souladu se zásadami pro kvalitu údajů uvedenými v článku 6 směrnice 95/46 nebo článku 5 nařízení 2016/679 a musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 této směrnice nebo v článku 6 tohoto nařízení (v tomto smyslu viz rozsudky ze dne 20. května 2003, Österreichischer Rundfunk a další, C‑465/00, C‑138/01 a C‑139/01, EU:C:2003:294, bod 65, jakož i ze dne 13. května 2014, Google Spain a Google, C‑131/12, EU:C:2014:317, bod 71).

58

Konkrétně osobní údaje musí být, podle čl. 6 odst. 1 písm. b) a c) směrnice 95/46 nebo čl. 5 odst. 1 písm. b) a c) nařízení 2016/679, shromažďovány pro určité, výslovně vyjádřené a legitimní účely a musí být přiměřené, relevantní a omezené na rozsah nezbytný ve vztahu k těmto účelům, přičemž jejich zpracování je oprávněné, podle čl. 7 písm. c) této směrnice nebo čl. 6 odst. 1 písm. c) tohoto nařízení, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje.

59

Dále je třeba připomenout, že požadavek korektního zpracování osobních údajů stanovený v článku 6 směrnice 95/46 nebo v článku 5 nařízení 2016/679 s sebou nese povinnost informovat dotčené osoby o shromažďování těchto údajů celními orgány za účelem jejich dalšího zpracování (v tomto smyslu viz rozsudek ze dne 1. října 2015, Bara a další, C‑201/14, EU:C:2015:638, bod 34).

60

Pokud jde o situaci dotčenou v původním řízení, daňová identifikační čísla fyzických osob byla nejprve shromážděna zaměstnavatelem těchto osob s cílem zajistit dodržení právní úpravy týkající se daně z příjmu, konkrétně jeho povinnosti vybírat formou srážky daň vypočtenou s ohledem na příjmy ze závislé činnosti každé z těchto fyzických osob.

61

Následné shromažďování těchto osobních údajů celními orgány za účelem rozhodnutí o žádosti o status AEO je nezbytné pro splnění právní povinnosti, která se na tyto orgány vztahuje podle čl. 24 odst. 1 druhého pododstavce prováděcího nařízení 2015/2447, a podmínek, které stanoví pro přiznání tohoto statusu. V tomto rozsahu jsou uvedené údaje shromažďovány, a tedy zpracovávány, pro určité, výslovně vyjádřené a legitimní účely.

62

Totéž platí, když celní orgány shromažďují údaje o daňových úřadech příslušných pro vyměření daně z příjmu uvedených fyzických osob, jelikož účelem takového shromažďování je rovněž umožnit těmto orgánům odpovědět na žádost o status AEO.

63

Nicméně je třeba, aby v takové situaci, o jakou se jedná v původním řízení, byly údaje shromažďované celními orgány, to znamená daňová identifikační čísla fyzických osob a údaje o daňových úřadech příslušných pro vyměření daně z příjmu u těchto osob, přiměřené, relevantní a omezené na rozsah nezbytný ve vztahu k účelům, pro které jsou tyto osobní údaje shromažďovány, jak vyplývá z bodu 58 tohoto rozsudku.

64

Jak uvedl generální advokát v bodě 66 svého stanoviska, to, že celní orgány přiznají hospodářskému subjektu status AEO, de facto znamená, že na něj delegují část funkcí kontroly celních předpisů. Proto je důležité, aby před udělením tohoto statusu mohly tyto orgány využít informací o spolehlivosti žadatele o uvedený status v oblasti dodržování celních předpisů a o spolehlivosti fyzických osob uvedených v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447, pokud jde o jejich dodržování celních předpisů a daňových předpisů, které se jich týkají.

65

Shromažďování daňových identifikačních čísel pouze fyzických osob uvedených v tomto článku, jakož i údajů o jejich příslušných daňových úřadech tedy představuje opatření přiměřené a relevantní k tomu, aby celní orgány mohly ověřit, zda se některá z těchto osob nedopustila některého z porušení uvedených v tomto článku.

66

Kromě toho se jeví, že osobní údaje takto shromážděné těmito orgány jsou omezeny na to, co je nezbytné pro dosažení účele uvedeného v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447, jelikož se jedná o omezené údaje, které samy o sobě neposkytují celním orgánům citlivé informace o osobní situaci, jako je rodinný stav či náboženská příslušnost, nebo o příjmech fyzických osob, kterých se týkají.

67

I když, jak uvádí předkládající soud, shromažďování daňových identifikačních čísel fyzických osob vyjmenovaných v tomto článku a údajů o jejich příslušných daňových úřadech v zásadě může celním orgánům získat přístup k osobním údajům, které nijak nesouvisí s hospodářskou činností žadatele o status AEO, je třeba konstatovat, že porušení daňových předpisů, zmíněná v tomto článku, se neomezují na porušení, které souvisí s hospodářskou činností žadatele o status AEO.

68

V tomto ohledu je odůvodněné, aby před přiznáním takového statusu žadateli, což znamená, jak vyplývá z bodu 64 tohoto rozsudku, že je na něj delegován výkon funkcí vlastních celním orgánům, tyto orgány ověřily nejen to, zda tento žadatel dodržuje celní předpisy, ale rovněž to, zda se fyzické osoby uvedené v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447 – s ohledem na jejich úroveň odpovědnosti v rámci organizační struktury tohoto žadatele – samy nedopustily závažného nebo opakovaného porušení těchto nebo daňových předpisů, ať již k těmto porušením došlo v souvislosti s hospodářskou činností uvedeného žadatele, či nikoliv.

69

Celní orgány tedy mohou shromažďovat daňová identifikační čísla fyzických osob taxativně vyjmenovaných v čl. 24 odst. 1 druhém pododstavci prováděcího nařízení 2015/2447 a údaje o daňových úřadech příslušných ve vztahu k těmto osobám pouze v rozsahu, v němž tyto údaje umožňují těmto orgánům získat informace o závažných nebo opakovaných porušeních celních nebo daňových předpisů nebo o závažných trestných činech, kterých se dopustily tyto fyzické osoby v souvislosti s jejich hospodářskou činností.

70

S ohledem na výše uvedené úvahy je třeba na položenou otázku odpovědět tak, že čl. 24 odst. 1 druhý pododstavec prováděcího nařízení 2015/2447, vykládaný ve světle směrnice 95/46 a nařízení 2016/679, musí být vykládán v tom smyslu, že celní orgány mohou požadovat od žadatele o status AEO sdělení daňových identifikačních čísel přidělených pro účely výběru daně z příjmu pouze u fyzických osob, které jsou pověřeny vedením žadatele nebo vykonávají kontrolu nad jeho řízením, a těch, které jsou odpovědné za jeho celní záležitosti, jakož i údajů o daňových úřadech příslušných ve vztahu ke všem těmto osobám, za předpokladu, že tyto údaje umožňují těmto orgánům získat informace o závažných nebo opakovaných porušeních celních předpisů nebo daňových předpisů nebo o závažných trestných činech, kterých se dopustily tyto fyzické osoby v souvislosti s jejich hospodářskou činností.

71

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:

Článek 24 odst. 1 druhý pododstavec prováděcího nařízení Komise (EU) 2015/2447 ze dne 24. listopadu 2015, kterým se stanoví prováděcí pravidla k některým ustanovením nařízení Evropského parlamentu a Rady (EU) č. 952/2013, kterým se stanoví celní kodex Unie, vykládaný ve světle směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecného nařízení o ochraně osobních údajů), musí být vykládán v tom smyslu, že celní orgány mohou požadovat od žadatele o status oprávněného hospodářského subjektu sdělení daňových identifikačních čísel přidělených pro účely výběru daně z příjmu pouze u fyzických osob, které jsou pověřeny vedením žadatele nebo vykonávají kontrolu nad jeho řízením, a těch, které jsou odpovědné za jeho celní záležitosti, jakož i údajů o daňových úřadech příslušných ve vztahu ke všem těmto osobám, za předpokladu, že tyto údaje umožňují těmto orgánům získat informace o závažných nebo opakovaných porušeních celních předpisů nebo daňových předpisů nebo o závažných trestných činech, kterých se dopustily tyto fyzické osoby v souvislosti s jejich hospodářskou činností.