1. 

L’administration douanière allemande exige certaines données à caractère personnel sur les dirigeants et les employés des entreprises souhaitant obtenir ou conserver le statut d’opérateur économique agréé (ci-après « OEA »), qui leur permet de bénéficier d’un traitement plus favorable que celui accordé aux autres importateurs ou exportateurs.

2. 

La question préjudicielle porte sur les limites que le droit de l’Union impose à ces exigences, que ce soit dans le domaine strictement douanier ou dans celui de la protection des données à caractère personnel.

3.

L’article 38 du règlement (UE) no 952/2013 ( 2 ) (ci-après le « code des douanes ») dispose :

« 1.   Un opérateur économique établi sur le territoire douanier de l’Union et satisfaisant aux critères énoncés à l’article 39 peut introduire une demande pour bénéficier du statut d’opérateur économique agréé.

[…]

2.   Le statut d’opérateur économique agréé comprend les types d’autorisations suivants :

[…] »

4.

L’article 39, sous a), du code des douanes précise :

« Les critères d’octroi du statut d’opérateur économique agréé sont les suivants :

[…] »

5.

Aux termes de l’article 24, paragraphe 1, du règlement d’exécution 2015/2447 ( 3 ) :

« […]

Lorsque le demandeur n’est pas une personne physique, le critère énoncé à l’article 39, point a), du code est considéré comme rempli si, au cours des trois années précédentes, aucune des personnes suivantes n’a commis d’infraction grave ou d’infractions répétées ni à la législation douanière ni aux dispositions fiscales, et ne s’est rendue coupable d’aucune infraction pénale grave liée à son activité économique :

6.

Conformément à l’article 1er du règlement délégué (UE) 2016/341 ( 4 ) :

« 1.   Le présent règlement établit des mesures transitoires concernant les moyens d’échange et de stockage des données visées à l’article 278 du code jusqu’à ce que les systèmes informatiques nécessaires à l’application des dispositions du code soient opérationnels.

2.   Les exigences en matière de données, les formats et les codes à appliquer pendant les périodes transitoires prévues dans le présent règlement, dans le règlement délégué (UE) 2015/2446 et dans le règlement d’exécution (UE) 2015/2447 sont définis dans les annexes du présent règlement. »

7.

L’article 5 du règlement délégué 2016/341 prévoit :

« 1.   Jusqu’à la date de mise à niveau du système relatif aux OEA visé à l’annexe de la décision d’exécution 2014/255/UE, les autorités douanières peuvent autoriser l’utilisation de moyens autres que des procédés informatiques de traitement des données pour les demandes et décisions relatives aux OEA ou pour tout événement ultérieur susceptible d’avoir une incidence sur la demande ou décision initiale.

2.   Dans les cas visés au paragraphe 1 du présent article, les dispositions suivantes s’appliquent :

8.

Le point 19 des notes explicatives de l’annexe 6 est consacré au contenu du formulaire de demande du statut d’OEA :

« Nom, date et signature du demandeur :

Signature : le signataire doit préciser sa fonction. Le signataire doit toujours être la personne qui représente l’entreprise du demandeur dans son ensemble.

Nom : nom et cachet du demandeur.

[…]

[…] »

9.

En vertu de l’article 4 du règlement (UE) 2016/679 ( 5 ) :

« Aux fins du présent règlement, on entend par :

[…] »

10.

L’article 5 du règlement 2016/679 dispose :

« 1.   Les données à caractère personnel doivent être :

[…] »

11.

L’article 6 du règlement 2016/679 indique :

« 1.   Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…]

[…]

[…]

2.   Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.

3.   Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. […] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.

4.   Lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n’est pas fondé sur le consentement de la personne concernée ou sur le droit de l’Union ou le droit d’un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l’article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :

12.

Conformément à l’article 23, paragraphe 1, sous e) du règlement 2016/679 :

« Le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement ou le sous-traitant est soumis peuvent, par la voie de mesures législatives, limiter la portée des obligations et des droits prévus aux articles 12 à 22 et à l’article 34, ainsi qu’à l’article 5 dans la mesure où les dispositions du droit en question correspondent aux droits et obligations prévus aux articles 12 à 22, lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir :

[…]

13.

Dans sa version applicable aux faits de l’espèce, l’article 139a, paragraphe 1, de l’Abgabenordnung (code des impôts) dispose :

« Le Bundeszentralamt für Steuern [(Office fédéral des impôts)] attribue à chaque contribuable aux fins d’une identification claire dans les procédures d’imposition un code unique et permanent (identifiant), lequel doit être fourni par le contribuable ou par le tiers qui doit transmettre aux autorités fiscales des données relatives à ce contribuable, lors de demandes, de déclarations ou de communications adressées aux autorités fiscales. Il est composé d’une suite de chiffres qui ne peut pas être formée ou dérivée d’autres données concernant le contribuable, et le dernier chiffre est un chiffre de contrôle […] »

14.

Aux termes de l’article 139b :

« (1)   Une personne physique ne peut recevoir plus d’un numéro d’identification […]

(2)   Les autorités fiscales ne peuvent collecter et utiliser le numéro d’identification que pour autant que cela est nécessaire à l’exécution de leurs attributions légales ou qu’une disposition légale autorise ou prescrit explicitement sa collecte ou son utilisation. D’autres organismes publics ou privés :

(3)   L’Office fédéral des impôts stocke les données suivantes concernant les personnes physiques :

[…]

[…]

(4)   Les données énumérées au paragraphe 3 sont stockées en vue de :

15.

Dans sa version applicable au moment des faits, l’article 38, paragraphes 1 et 3, du Einkommensteuergesetz (loi relative à l’impôt sur le revenu) énonce :

« (1)   Pour les revenus du travail salarié, l’impôt sur le revenu est prélevé par voie de retenue à la source (impôt sur les salaires), pour autant que le salaire soit payé par un employeur […]

[…]

(3)   L’impôt sur les salaires doit être déduit du salaire par l’employeur, pour le compte du salarié, lors de chaque paiement de salaire […] »

16.

Conformément à l’article 39, paragraphes 1 et 4, de la loi relative à l’impôt sur le revenu :

« (1)   Aux fins de la mise en œuvre de la retenue à la source de l’impôt sur les salaires, les éléments servant au calcul de la retenue à la source de l’impôt sur les salaires sont établis à la diligence du salarié […]

[…]

(4)   Les éléments servant au calcul de la retenue à la source sont :

[…] »

17.

En vertu de l’article 39e de la loi relative à l’impôt sur le revenu :

« (1)   L’Office fédéral des impôts établit, pour chaque salarié, en principe de manière automatisée, la classe d’imposition, ainsi que, pour les enfants à prendre en compte au titre des classes d’imposition I à IV, le nombre d’abattements pour enfants à charge en tant qu’éléments servant au calcul de la retenue à la source de l’impôt sur les salaires (article 39, paragraphe 4, première phrase, points 1 et 2) […]. Lorsque l’administration fiscale établit, conformément à l’article 39, les éléments servant au calcul de la retenue à la source, elle transmet ces données à l’Office fédéral des impôts aux fins de leur mise à disposition dans le cadre de la consultation automatisée par l’employeur […]

(2)   Afin de mettre à la disposition de l’employeur les éléments servant au calcul de la retenue à la source, consultables de manière automatisée, l’Office fédéral des impôts stocke ces éléments, après saisie du numéro d’identification, en complétant, pour chaque contribuable, les données mentionnées à l’article 139b, paragraphe 3, de l’Abgabenordnung (code des impôts), par les données suivantes :

[…]

(4)   Le salarié doit communiquer à chacun de ses employeurs, à la date de début du contrat de travail, aux fins de la consultation des éléments servant au calcul de la retenue à la source :

[…]

Au début du contrat de travail, l’employeur doit consulter par transfert à distance de données les éléments électroniques servant au calcul de la retenue à la source concernant le salarié, auprès de l’Office fédéral des impôts, et intégrer ces éléments dans le compte salaire du salarié. […]

[…] »

18.

Deutsche Post AG était titulaire d’autorisations en matière douanière qui lui avaient été accordées en vertu des règlements (CEE) nos 2913/92 ( 6 ) et 2454/93 ( 7 ), notamment en tant que destinataire agréé et expéditeur agréé. Elle bénéficie également d’une garantie globale pour simplifier le régime de transit de l’Union ou le régime de transit commun et, depuis que le nouveau code des douanes est devenu pleinement applicable, de l’autorisation d’exploiter une installation de stockage temporaire.

19.

Par courrier du 19 avril 2017, le Hauptzollamt (bureau principal des douanes) a demandé à Deutsche Post de répondre avant le 19 mai 2017 au questionnaire d’autoévaluation en ligne, partie I (informations concernant l’entreprise). Ce formulaire contenait, entre autres, les demandes suivantes :

« 1.1.2 Indiquez, pour autant que cela corresponde à la forme juridique de votre entreprise :

[…]

1.1.6 Indiquez les principaux dirigeants (directeurs généraux/directrices générales, chefs de département, gestionnaire des services de comptabilité, responsable des affaires douanières, etc.) de l’entreprise et décrivez les règles de représentation correspondantes. Les indications exigées a minima sont les nom, prénoms, date de naissance, numéro d’identification fiscale et centre des impôts compétent.

[…]

1.3.1 Indiquez les personnes responsables des questions douanières au sein de votre organisation ou celles chargées de leur traitement [notamment chargé(e) des questions douanières, responsable des affaires douanières] en mentionnant les nom et prénoms, date de naissance, numéro d’identification fiscale, centre des impôts compétent et poste occupé au sein de l’organisation. »

20.

Le bureau principal des douanes a averti Deutsche Post que si elle ne collaborait pas dans la mesure nécessaire, il serait impossible de vérifier si elle remplissait les conditions d’autorisation visées dans le code des douanes. Il l’a également prévenue qu’il annulerait les autorisations permanentes si elle ne collaborait pas ou si elle ne remplissait plus ces conditions.

21.

Deutsche Post a saisi la juridiction de renvoi en contestant l’obligation de communiquer au bureau principal des douanes les numéros d’identification fiscale (ci-après « NIF ») des personnes citées dans le formulaire d’autoévaluation ainsi que les coordonnées des centres des impôts compétents dont celles-ci dépendent. Elle a demandé au juge de déclarer qu’elle n’était pas obligée de répondre à cette partie du formulaire.

22.

Pour étayer son recours, Deutsche Post a fait valoir que :

23.

Le bureau principal des douanes a réfuté les arguments de Deutsche Post en affirmant que la demande de NIF était indispensable à l’identification claire des personnes concernées dans le cadre d’une demande présentée aux centres des impôts. L’échange d’informations n’est prévu que lorsque ces centres ont connaissance d’infractions graves ou répétées à la législation fiscale. À cet égard, les poursuites pénales ou les procédures de sanction déjà clôturées ne sont pas pertinentes. Il n’est tenu compte des infractions répétées à la législation fiscale que si leur fréquence est disproportionnée par rapport à la nature et à l’importance de l’activité commerciale du demandeur.

24.

Le bureau principal des douanes estime que le cercle de personnes concernées par les questions est conforme à l’article 24, paragraphe 1, second alinéa, du règlement d’exécution 2015/2447 et aux lignes directrices de la Commission relatives aux OEA. Ce bureau détermine au cas par cas, selon le risque, pour quelles personnes précisément l’échange d’informations avec les centres des impôts s’impose. S’agissant des personnes chargées des questions douanières, la demande se limite, dans les grands départements douaniers, aux dirigeants et aux cadres.

25.

Le Finanzgericht Düsseldorf (tribunal des finances de Düsseldorf, Allemagne) a des doutes sur le point de savoir si la consultation des données à caractère personnel demandées [les NIF et les centres des impôts compétents pour le prélèvement de l’impôt sur le revenu des personnes visées aux points 1.1.2, sous c), 1.1.6 et 1.3.1 du questionnaire] constitue un traitement licite de ces données au regard du règlement 2016/679 et de l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

26.

Il doute également de la nécessité d’avoir recours aux données à caractère personnel des salariés et membres du conseil de surveillance de la requérante, collectées aux fins du prélèvement de l’impôt sur le revenu, puisqu’elles n’ont pas de lien direct avec l’appréciation de leur fiabilité en matière douanière ni avec l’activité économique de Deutsche Post.

27.

C’est dans ce contexte que la juridiction de renvoi a décidé de soumettre à la Cour la question préjudicielle suivante :

« L’article 24, paragraphe 1, second alinéa, du [règlement d’exécution 2015/2447] doit-il être interprété en ce sens qu’il autorise les autorités douanières à exiger du demandeur qu’il leur communique, en ce qui concerne les membres de son conseil de surveillance et ses salariés exerçant les fonctions de directeurs généraux, chefs de département, gestionnaire des services de comptabilité, responsable des affaires douanières, ainsi que les personnes responsables de la gestion des questions douanières et celles chargées de leur traitement, les numéros d’identification fiscale attribués par l’Office fédéral des impôts aux fins du prélèvement de l’impôt sur le revenu, ainsi que les centres des impôts compétents pour l’établissement de l’impôt sur le revenu ? »

28.

Deutsche Post, le bureau principal des douanes, les gouvernements espagnol, italien et hongrois, ainsi que la Commission européenne ont présenté des observations écrites. Deutsche Post, le bureau principal des douanes et la Commission ont comparu à l’audience qui s’est tenue le 5 juillet 2018.

29.

Avant d’entamer l’analyse au fond, il convient de préciser les normes de l’Union relatives à la protection des données à caractère personnel qui sont applicables à la présente affaire.

30.

La demande de communication de données à été transmise à Deutsche Post le 19 avril 2017, soit avant la date d’entrée en vigueur (le 25 mai 2018) du règlement 2016/679. À cette date, la directive 95/46/CE ( 8 ) était applicable, même si la juridiction de renvoi et les parties qui sont intervenues dans la procédure préjudicielle, à l’exception de la Commission, partent du principe que c’est le règlement précité qui s’applique.

31.

Cette apparente anomalie peut s’expliquer par la nature de la procédure nationale d’origine. Comme cela a été exposé au cours de l’audience, Deutsche Post n’aurait pas engagé une action en nullité (Anfechtungsklage), que le juge devrait examiner au regard de la réglementation en vigueur au moments des faits, mais une action en constatation (Feststellungsklage) ( 9 ), sur laquelle il convient de statuer selon la situation juridique en vigueur au moment de l’audience et de l’arrêt.

32.

Il appartient à la juridiction de renvoi d’interpréter son droit procédural national, sur lequel la Cour ne se prononce pas. Par conséquent, si elle considère, en vertu des normes nationales, que le litige doit être tranché, ratione temporis, conformément au règlement 2016/679 et non à la directive 95/46, la Cour doit l’éclairer sur l’interprétation de celui-ci et non sur celle de la directive ( 10 ).

33.

La question préjudicielle vise à obtenir l’interprétation et non l’éventuelle déclaration d’invalidité de l’article 24, paragraphe 1, du règlement d’exécution 2015/2447, aux fins duquel il convient de tenir compte du règlement 2016/679 et des articles 7 et 8 de la Charte ( 11 ). La juridiction de renvoi, je le répète, n’a pas envisagé la possible invalidité de cet article, qui se limite à fixer les conditions d’octroi du statut d’OEA sans exiger, lui-même, la transmission ni le traitement de données à caractère personnel de la part d’un tiers.

34.

Le statut d’OEA confère des avantages ( 12 ) aux opérateurs économiques qui, dans le cadre de leurs opérations douanières, sont considérés comme fiables sur tout le territoire de l’Union (article 5, paragraphe 5, du code des douanes). Conformément aux dispositions de l’article 38, paragraphe 6, de ce même code, l’un de ces avantages consiste à bénéficier d’un traitement plus favorable que les autres opérateurs en matière de contrôles douaniers. Selon le type d’autorisation accordée, un OEA sera soumis à moins de contrôles physiques et documentaires.

35.

Étant donné que les OEA doivent avoir une fiabilité et une réputation établies, l’octroi de ce statut est subordonné au respect des conditions fixées à l’article 39 du code des douanes ( 13 ), à savoir :

36.

Ces conditions doivent être remplies par tous les opérateurs demandant le statut d’OEA, que ce soient des personnes morales ou bien des personnes physiques. En l’espèce, Deutsche Post étant une personne morale, la condition de ne pas avoir commis d’infractions graves ou répétées à la législation douanière ou aux dispositions fiscales, et de ne s’être rendu coupable d’aucune infraction pénale grave liée à son activité économique est étendue à certains de ses employés (ceux exerçant les fonctions les plus importantes qui sont citées ci-dessous) ( 14 ). C’est ce que précise l’article 24 du règlement d’exécution 2015/2447, qui a été adopté en application de l’article 39, sous a), du code des douanes ( 15 ).

37.

Conformément à l’article 24 du règlement d’exécution 2015/2447, « la personne responsable du demandeur ou exerçant le contrôle de sa gestion » et « l’employé responsable des questions douanières au nom du demandeur » doivent être exempts de ces reproches ( 16 ).

38.

L’article 24 du règlement d’exécution 2015/2447 fixe les limites que les autorités douanières ne doivent pas dépasser dans leurs demandes d’informations concernant le cercle de personnes pouvant faire l’objet d’une enquête. Elles doivent également respecter cet article quant à la finalité que doit poursuivre la collecte des données relatives à ces personnes.

39.

Selon la logique de l’article 24 du règlement d’exécution 2015/2447, pour attribuer ( 17 ) le statut d’OEA, les autorités doivent détenir certaines données sur les principaux responsables des entreprises ainsi que sur les personnes physiques qui gèrent leurs activités douanières ( 18 ).

40.

Le libellé de l’article 24 du règlement d’exécution 2015/2447 est restrictif : il mentionne exclusivement la personne responsable (de l’opérateur demandant le statut d’OEA) ou exerçant le contrôle de sa gestion et l’employé responsable des questions douanières. Cet article emploie le singulier, ce qui impose une interprétation stricte, qui s’explique aussi par le fait que les informations communiquées sont des données personnelles. Une norme de droit dérivé hiérarchiquement subordonnée à l’article 24 du règlement d’exécution 2015/2447, telle que l’annexe 6 du règlement délégué 2016/341, ne peut pas élargir son champ d’application personnel.

41.

Par conséquent, les autorités douanières peuvent uniquement collecter les données personnelles concernant :

42.

Sur la base de cette prémisse, je partage le point de vue de la juridiction de renvoi, selon laquelle la demande des données à caractère personnel des membres du conseil de surveillance ou du comité consultatif d’une entreprise n’est pas couverte par l’article 24 du règlement d’exécution 2015/2447. Dans le même esprit, cette disposition ne constitue pas non plus une base permettant de demander les données relatives aux chefs d’autres départements et aux gestionnaires des services de comptabilité, à moins que ces personnes n’assument, de surcroît, le pouvoir de décision finale dans l’entreprise ou qu’elles s’occupent du traitement de ses questions douanières.

43.

Comme je l’ai déjà indiqué, on ne peut collecter, en application de l’article 24 du règlement d’exécution 2015/2447, que les informations indispensables pour vérifier que la personne n’a pas commis « d’infraction grave ou d’infractions répétées ni à la législation douanière ni aux dispositions fiscales », et ne s’est rendue coupable d’aucune « infraction pénale grave liée à [l’]activité économique [du demandeur] ».

44.

C’est donc la seule finalité à laquelle doit répondre la collecte d’informations par les autorités douanières. Toutefois, cette disposition ne précise pas quel type de données sont appropriées pour atteindre son objectif : il appartient aux États membres de les déterminer, en sachant qu’il ne peut s’agir que des données indispensables pour s’assurer de l’(in)existence des comportements qui affectent la fiabilité des principaux responsables de l’entreprise.

45.

Pour vérifier si les employés susvisés de l’entreprise candidate au statut d’OEA n’ont pas l’intégrité nécessaire pour mériter la confiance de l’administration douanière, l’article 24 du règlement d’exécution 2015/2447 énumère trois catégories d’infractions :

46.

Quelles données les autorités douanières peuvent-elles collecter, en application de l’article 24 du règlement d’exécution 2015/2447, pour détecter l’existence de ces infractions, aux fins de l’octroi du statut d’OEA ?

47.

Le bureau principal des douanes soutient qu’il doit disposer des NIF et des coordonnées des centres des impôts des dirigeants et des salariés de Deutsche Post qui exercent le contrôle sur sa gestion douanière. Il affirme que c’est le seul moyen pour lui de constater s’ils ont commis des infractions graves et répétées à la législation fiscale, puisqu’en Allemagne, beaucoup d’impôts sont gérés par les autorités régionales. Le NIF serait la donnée de base pour demander de manière précise à ces autorités les informations nécessaires sur ces personnes.

48.

Au contraire, Deutsche Post assure que la situation de ses salariés au regard de l’impôt sur le revenu est sans pertinence pour apprécier s’ils ont commis des infractions graves et répétées à la législation fiscale. La communication de leur NIF ne serait donc ni indispensable ni appropriée pour déterminer leur fiabilité en matière de gestion douanière.

49.

Il ressort des observations écrites et des explications fournies à l’audience que le NIF est un identifiant personnel utilisé dans les relations entre les personnes physiques et l’administration fiscale allemande pour diverses questions. Il est communément admis que celui-ci est principalement utilisé pour la gestion de l’impôt sur le revenu, ce qui explique son lien, dans le litige au principal, avec les coordonnées des centres des impôts compétents pour sa liquidation.

50.

L’interprétation du droit allemand n’incombe pas à la Cour mais à la juridiction de renvoi. Cette dernière indique que les NIF attribués par l’Office fédéral des impôts aux employés de Deutsche Post (article 139a, paragraphe 1, première phrase, du code des impôts) ne peuvent être collectés et stockés qu’aux fins du prélèvement de l’impôt sur le revenu par voie de retenue à la source sur les salaires (article 39e, paragraphe 4, première phrase, point 1, de la loi relative à l’impôt sur le revenu).

51.

Les données à caractère personnel des salariés de Deutsche Post, collectées dans le but déjà évoqué, n’auraient, selon la juridiction de renvoi, aucun lien direct avec l’activité économique de cette entreprise et ne seraient dès lors pas pertinentes pour l’appréciation de sa fiabilité en matière douanière ( 23 ).

52.

Toutefois, je pense que, sur le plan de la législation douanière, rien ne s’oppose à ce que l’administration allemande demande le NIF (et la désignation du centre compétent pour la liquidation de l’impôt sur le revenu) du dirigeant et du responsable des questions douanières de l’entreprise aspirant au statut d’OEA. Sans préjudice de ce que j’exposerai dans les développements suivants sur la protection de ces données à caractère personnel, leur consignation peut servir à vérifier que ces personnes n’ont pas commis d’infractions.

53.

L’argument de la juridiction de renvoi pourrait être pertinent s’il existait une dissociation (à laquelle il semble faire allusion) entre les informations pouvant être obtenues à partir du NIF, qui se rapportent forcément à chaque personne physique, et l’activité de l’entreprise. Toutefois, ce contrôle vise précisément à vérifier si les deux personnes physiques qui exercent des fonctions importantes au sein de l’entité candidate à l’OEA ont commis, au cours des trois dernières années, des manquements personnels (qui ne sont donc pas ceux de l’entreprise) altérant leur fiabilité, et contaminant, pour ainsi dire, par leur manque d’honnêteté – dans l’hypothèse où ils auraient été sanctionnés dans le passé – l’entité dont ils assument la gestion générale ou douanière.

54.

À l’instar d’autres données similaires de nature fiscale ainsi qualifiées par la Cour ( 24 ), le NIF est une donnée à caractère personnel au sens de l’article 4, point 1, du règlement 2016/679, puisqu’il s’agit d’une information concernant une personne identifiée ou identifiable ( 25 ).

55.

L’indication des centres des impôts compétents pour la liquidation de l’impôt sur le revenu d’une personne déterminée semble, dans la décision de renvoi, étroitement liée au NIF en raison de la structure fédérale du système d’imposition allemand. Dans ce contexte, on peut considérer comme accessoire une donnée fiscale relative à une personne identifiée ou identifiable.

56.

Comme le souligne la juridiction de renvoi, la consultation automatisée du NIF permet d’accéder à des informations particulièrement sensibles ( 26 ). C’est donc un instrument qui permet d’identifier la personne titulaire et d’obtenir certaines informations sur sa vie privée et familiale qui sont détenues par l’administration.

57.

L’activité qui s’organise autour des NIF dans les relations entre l’administration douanière et les candidats au statut d’OEA peut être qualifiée de collecte ou de communication par transmission. Dans les deux cas, cela donne lieu à un traitement de données au sens de l’article 4, point 2, du règlement 2016/679. L’administration douanière allemande demande les NIF, les structure et les utilise pour demander aux centres des impôts compétents des informations sur d’éventuelles infractions graves ou répétées aux dispositions fiscales commises par ces personnes. La simple obtention de ces données suppose déjà un traitement, comme c’est le cas, a fortiori, de leur structuration et utilisation postérieure pour avoir des informations sur ces personnes ( 27 ).

58.

De même, la Cour a également considéré qu’il existait un traitement de données lorsque des données sont transmises d’une entité publique à une autre ( 28 ), y compris lorsqu’un employeur transmet des données à caractère personnel à une autorité nationale ( 29 ). Par conséquent, la transmission des données à caractère personnel de dirigeants et d’employés par Deutsche Post au bureau principal des douanes constitue un « traitement de données » aux fins du règlement 2016/679.

59.

L’article 5, paragraphe 1, sous b), du règlement 2016/679 pose comme principe directeur du traitement celui de la limitation de la finalité, selon lequel « les données à caractère personnel doivent être […] collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités» ( 30 ).

60.

Il convient donc de décider si l’utilisation par les autorités douanières allemandes des NIF des dirigeants et responsables des questions douanières de Deutsche Post, qui sont demandés à cette dernière, est compatible avec l’objectif assigné par la législation nationale à la collecte de ces données à caractère personnel.

61.

Le juge de renvoi émet des doutes à ce sujet ( 31 ) et pense qu’il n’y a pas de lien direct entre les NIF et les centres des impôts compétents pour la liquidation de l’impôt sur le revenu des dirigeants et employés, et les activités douanières de Deutsche Post. Conformément à ce qui a été indiqué à l’audience et à ce que j’ai expliqué précédemment, le droit allemand prévoit l’utilisation de ces données fiscales, essentiellement mais pas exclusivement, dans les relations de travail entre l’employeur et le salarié aux fins du prélèvement de l’impôt sur le revenu.

62.

Les NIF (et, accessoirement, l’indication des centres des impôts compétents pour la liquidation de l’impôt sur le revenu) sont donc des données à caractère personnel qui n’ont pas été conçues pour être utilisées dans le cadre des relations entre une entreprise et l’administration douanière allemande afin d’obtenir ou de conserver le statut d’OEA. Par conséquent, il s’agirait d’un traitement de données à caractère personnel méconnaissant, a priori, la finalité pour laquelle elles ont été collectées, en violation de la règle énoncée à l’article 5, paragraphe 1, sous b), du règlement 2016/679.

63.

Cependant, un traitement de données à caractère personnel de ce type pourrait être justifié. Il suffirait, par exemple, que les personnes physiques concernées y aient consenti en application de l’article 6, paragraphe 1, sous a), du règlement 2016/679. Toutefois, il ressort du dossier que les employés de Deutsche Post s’y opposent, ce qui exclut cette solution.

64.

D’autres justifications possibles découlent de l’article 6, paragraphe 1 ( 32 ), selon lequel le traitement est licite lorsqu’il est nécessaire « au respect d’une obligation légale à laquelle le responsable du traitement est soumis » [sous c)] ou « à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » [sous e)] ( 33 ). Dans les deux cas, l’article 6, paragraphe 3, du règlement 2016/679 prévoit que le fondement du traitement est défini par le droit de l’Union ou le droit de l’État membre auquel le responsable de ce traitement est soumis.

65.

La licéité de la demande et du traitement de données à caractère personnel que l’administration adresse à Deutsche Post est fondée sur l’obligation légale ( 34 ) incombant à cette administration de vérifier que le bénéfice du statut d’OEA ne soit accordé qu’aux entreprises dont les dirigeants et responsables des questions douanières n’ont pas commis les infractions précédemment évoquées. Cette obligation légale résulte, en dernier lieu, de l’article 24 du règlement d’exécution 2015/2447. Par conséquent, je considère que la justification exposée à l’article 6, paragraphe 1, sous c), du règlement 2016/679 est applicable.

66.

La licéité du traitement des NIF du dirigeant et du responsable des questions douanières d’une entreprise, aux fins de l’octroi du statut d’OEA, peut également se fonder sur « l’exercice de l’autorité publique dont est investi le responsable du traitement » [article 6, paragraphe 1, sous e), du règlement 2016/679] ( 35 ), puisqu’il est indispensable à l’administration douanière pour qu’elle exerce l’autorité publique dont elle a été investie pour contrôler les entreprises ayant un statut d’OEA. Ce statut suppose une certaine délégation des fonctions de contrôle douanier en faveur des OEA, qui est contrebalancée par une possibilité étendue pour l’administration de vérifier et contrôler leur fiabilité.

67.

La demande et le traitement des données en cause dans le litige, qui sont licites puisqu’ils sont fondés sur l’article 6, paragraphe 1, sous c) et sous e), du règlement 2016/679, peuvent générer certaines limitations des droits que les articles 12 à 22 du règlement 2016/679 reconnaissent aux titulaires de ces données à caractère personnel. Il appartient à la juridiction de renvoi de déterminer si le bureau principal des douanes, lorsqu’il traite ces données, limite certains des droits des personnes concernées, par exemple les droits d’accès, de rectification, de suppression ou d’opposition.

68.

Si elles existaient, ces limitations pourraient justifier certains des « objectifs importants d’intérêt public général de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, y compris dans les domaines monétaire, budgétaire et fiscal, de la santé publique et de la sécurité sociale » [article 23, paragraphe 1, sous c), du règlement 2016/679]. La mesure qui les impose devrait, de surcroît, respecter « l’essence des libertés et des droits fondamentaux » et être « nécessaire et proportionnée dans une société démocratique» ( 36 ).

69.

À mon avis, l’objectif consistant à s’assurer de la fiabilité douanière du dirigeant et du responsable des questions douanières d’une entreprise aux fins de l’octroi du statut d’OEA répond à un but d’intérêt public général de l’Union et de l’État allemand, d’un point de vue économique, fiscal et budgétaire. Le contrôle de la fiabilité des OEA favorisera la perception des droits de douane, qui sont une ressource propre de l’Union, que les États membres versent et transfèrent au budget de l’Union après déduction d’un pourcentage au titre de la gestion administrative.

70.

Le défaut d’intégrité du dirigeant de l’entreprise et de son responsable des questions douanières sont des facteurs susceptibles de compromettre la fiabilité de cette entreprise en matière douanière, et d’avoir une incidence directe sur l’octroi du statut d’OEA ( 37 ). Comme je l’ai signalé dans mes conclusions relatives à l’affaire Impresa di Costruzioni Ing. E. Mantovani et Guerrato ( 38 ), il est logique d’apprécier le défaut de crédibilité d’une entreprise au regard des actes délictueux commis par les responsables de sa direction.

71.

Cette circonstance justifie que l’administration douanière puisse faire des recherches dans les archives fiscales de ces dirigeants, qui incluent leurs antécédents en matière d’impôt sur le revenu. Si le dirigeant de l’entreprise ou son responsable des questions douanières a commis des infractions relatives au prélèvement de cet impôt ou d’un autre, je considère que l’administration douanière doit pouvoir obtenir des informations sur celles-ci.

72.

Dans le même ordre d’idées, la collecte et l’utilisation de données de cette nature sont des moyens proportionnés d’atteindre l’objectif fixé à l’article 24, paragraphe 1, du règlement d’exécution 2015/2447 ( 39 ). Selon les affirmations formulées à l’audience par l’Office fédéral des impôts, il n’existe pas, en droit allemand, d’autres moyens alternatifs moins restrictifs puisque la structure fédérale de l’État allemand implique que certains impôts, tels que l’impôt sur le revenu, soient gérés par les autorités régionales. Le NIF constitue le moyen le plus approprié pour l’administration douanière (fédérale) de collecter et d’obtenir les informations fiscales détenues par différentes autorités régionales ( 40 ).

73.

Il convient d’apporter deux dernières précisions :

74.

À la lumière des considérations qui précèdent, je propose à la Cour de répondre au Finanzgericht Düsseldorf (tribunal des finances de Düsseldorf, Allemagne) dans les termes suivants :