1. 

Njemačka carinska uprava zahtijeva određene osobne podatke upraviteljâ i zaposlenikâ poduzeća koja žele dobiti ili zadržati status ovlaštenoga gospodarskog subjekta (u daljnjem tekstu: AEO), na temelju kojeg uživaju povlašteniji tretman u odnosu na ostale uvoznike ili izvoznike.

2. 

Prethodno pitanje odnosi se na ograničavanje tih zahtjeva pravom Unije, neovisno o tome radi li se isključivo o carinskim pitanjima ili o zaštiti osobnih podataka.

3.

Člankom 38. Uredbe br. 952/2013 ( 2 ) predviđa se:

„1.   Gospodarski subjekt koji ima poslovni nastan na carinskom području Unije i koji ispunjava kriterije iz članka 39. može podnijeti zahtjev za status ovlaštenoga gospodarskog subjekta.

[…]

2.   Status ovlaštenoga gospodarskog subjekta sastoji se od sljedećih vrsta odobrenja:

[…]”

4.

Člankom 39. točkom (a) propisuje se:

„Kriteriji za odobrenje statusa ‚ovlaštenoga gospodarskog subjekta’ su sljedeći:

[…]”

5.

U skladu s člankom 24. stavkom 1.:

„[…]

Ako podnositelj zahtjeva nije fizička osoba, smatra se da je kriterij iz članka 39. točke (a) Zakonika ispunjen ako u protekle tri godine nijedna od sljedećih osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnosti:

6.

U skladu s člankom 1.:

„1.   Ovom Uredbom utvrđuju se prijelazne mjere u pogledu sredstava za razmjenu i pohranu podataka iz članka 278. Zakonika dok elektronički sustavi potrebni za primjenu odredbi Zakonika još nisu operativni.

2.   Zahtjevi, formati i oznake koji se odnose na podatke, a koje je potrebno primjenjivati u prijelaznim razdobljima utvrđenima ovom Uredbom, Delegiranom uredbom (EU) 2015/2446 te Provedbenom uredbom (EU) 2015/2447 utvrđeni su u prilozima ovoj Uredbi.”

7.

Člankom 5. utvrđuje se:

„1.   Do datuma nadogradnje sustava AEO‑a iz Priloga Provedbenoj odluci 2014/255/EU carinska tijela mogu dopustiti upotrebu drugih sredstava osim tehnika elektroničke obrade podataka za zahtjeve i odluke koji se odnose na AEO ili za sve naknadne događaje koji mogu utjecati na izvorni zahtjev ili odluku.

2.   U slučajevima iz stavka 1. ovog članka primjenjuje se sljedeće:

8.

Točka 19. Objašnjenja iz Priloga 6. odnosi se na sadržaj obrasca zahtjeva za status AEO‑a:

„Naziv, datum i potpis podnositelja zahtjeva:

potpis: potpisnik bi trebao navesti i svoj službeni položaj. Potpisnik bi uvijek trebao biti osoba koja u cijelosti zastupa podnositelja zahtjeva.

Naziv: naziv i pečat podnositelja zahtjeva.

[…]

[…]”

9.

U skladu s člankom 4.:

„Za potrebe ove Uredbe:

[…]”

10.

Člankom 5. propisuje se:

„Osobni podaci moraju biti:

[…]”

11.

Člankom 6. određuje se:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

[…]

2.   Države članice mogu zadržati ili uvesti posebne odredbe kako bi se primjena pravila ove Uredbe s obzirom na obradu prilagodila radi usklađivanja sa stavkom 1. točkama (c) i (e) tako da se preciznije odrede posebni zahtjevi za obradu te druge mjere za osiguravanje zakonite i poštene obrade, među ostalim za druge posebne situacije obrade kako je predviđeno u poglavlju IX.

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. […] Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

12.

U skladu s člankom 23. stavkom 1. točkom (e):

„Na temelju prava Unije ili prava države članice kojem podliježu voditelj obrade podataka ili izvršitelj obrade zakonskom mjerom može se ograničiti opseg obveza i prava iz članaka od 12. do 22. i članka 34. te članka 5. ako te odredbe odgovaraju pravima i obvezama predviđenima u člancima od 12. do 22., ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu:

[…]

13.

U verziji koja se primjenjuje na činjenice iz glavnog postupka, člankom 139.a stavkom 1. ističe se:

„Bundeszentralamt für Steuern (Savezni središnji porezni ured) svakom poreznom obvezniku, radi njegove nedvosmislene identifikacije u poreznim postupcima, dodjeljuje jedinstveni doživotni broj (identifikacijski broj), koji porezni obveznik ili treća osoba treba dostaviti poreznim tijelima prilikom svakog preuzimanja, podnošenja prijave ili komunikacije s poreznim tijelima. Sastoji se od niza znamenaka koji se ne može sastaviti ili izvesti iz drugih podataka o poreznom obvezniku; na zadnjem je mjestu kontrolni broj […].”

14.

U skladu s člankom 139.b:

„1.   Fizičkoj osobi ne može biti dodijeljeno više od jednog identifikacijskog broja […].

2.   Porezna tijela mogu pribaviti identifikacijski broj i koristiti se njime samo ako im je potreban za ispunjenje njihovih zakonskih obveza ili zakonska odredba izričito dopušta ili nalaže pribavljanje identifikacijskog broja ili korištenje njime. Drugi javni ili privatni subjekti mogu:

3.   Savezni središnji porezni ured o fizičkim osobama pohranjuje sljedeće podatke:

[…]

[…]

4.   Podaci navedeni u stavku 3. pohranjuju se kako bi se:

15.

Člankom 38. stavcima 1. i 3., u verziji koja je bila primjenjiva u vrijeme nastanka činjenica iz glavnog postupka, propisuje se:

„1.   Što se tiče prihoda od nesamostalnog rada, porez na dohodak naplaćuje se ustezanjem od plaće (porez na plaće), ako plaću isplaćuje poslodavac […]

[…]

3.   Poslodavac će porez na plaće za račun zaposlenika ustegnuti od njegove plaće pri svakoj isplati plaće […]”

16.

Člankom 39. stavcima 1. i 4. određuje se:

„1.   Za provedbu ustezanja poreza na plaće na zahtjev zaposlenika određuju se elementi za odbijanje poreza na plaću […]

[…]

4.   Elementi za ustezanje poreza na plaću jesu:

[…]”

17.

U skladu s člankom 39.e:

„1.   Savezni središnji porezni ured za svakog zaposlenika načelno automatski određuje porezni razred i broj poreznih olakšica na djecu koja se uzimaju u obzir za porezne razrede od I. do IV. kao elemente za ustezanje poreza na plaću (članak 39. stavak 4. prva rečenica točke 1. i 2.) […] Kada porezna uprava određuje elemente za ustezanje poreza na plaću u skladu s člankom 39., ona o njima obavještava Savezni središnji porezni ured kako bi poslodavcu omogućila njihovo automatsko preuzimanje.

2.   Savezni središnji porezni ured pohranjuje elemente za ustezanje poreza na plaću kako bi poslodavcu omogućio njihovo automatsko preuzimanje, navodeći za svakog poreznog obveznika, osim identifikacijskog broja i podataka iz članka 139.b stavka 3. Poreznog zakonika, sljedeće podatke:

[…]

4.   Zaposlenik mora svakog poslodavca prilikom zasnivanja radnog odnosa u svrhu preuzimanja elemenata za ustezanje poreza na plaću obavijestiti o:

[…]

Prilikom zasnivanja radnog odnosa poslodavac od Bundeszentralamta für Steuern (Savezni središnji porezni ured) daljinskim prijenosom podataka preuzima elektroničke elemente za ustezanje poreza na plaću koji se odnose na zaposlenika te ih unosi u račun za obračun plaća zaposlenika. […]

[…]”

18.

Deutsche Post bio je korisnik odobrenja carinskih tijela na temelju Uredbe (EEZ) br. 2913/92 ( 6 ) i Uredbe (EEZ) br. 2454/93 ( 7 ), osobito kao ovlašteni primatelj i kao ovlašteni pošiljatelj. Također ostvaruje pravo na zajedničko osiguranje za pojednostavnjenje postupka provoza Unije ili provoza kroz Zajednicu te mu je od početka pune primjenjivosti novog Carinskog zakonika dodijeljeno odobrenje za vođenje prostora za privremeni smještaj.

19.

Dopisom od 19. travnja 2017. Glavni carinski ured pozvao je Deutsche Post da prije 19. svibnja 2017. ispuni Upitnik za samoprocjenu, odjeljak I. (Podaci o tvrtki), koji je dostupan na internetu. Navedeni je upitnik sadržavao, među ostalim, sljedeća pitanja:

„1.1.2. Navedite, ako je to primjenjivo na pravni oblik vašeg poduzeća:

[…]

1.1.6. Navedite najvažnije upravitelje u poduzeću (izvršni direktor/ica, voditelj/ica odjela, voditelj/ica računovodstva, voditelj/ica odjela za carinske poslove itd.) s pripadajućim pravilima o zastupanju. Potrebno je navesti barem ime, prezime, datum rođenja, porezni identifikacijski broj i nadležnu poreznu upravu.

[…]

1.3.1. Navedite osobe koje su u vašoj organizaciji odgovorne za carinska pitanja ili osobe koje rješavaju carinske stvari (npr. službenik/ca za carinska pitanja, voditelj/ica odjela za carinske poslove) i podatke o njihovim imenima, prezimenima, datumima rođenja, poreznim identifikacijskim brojevima, nadležnim poreznim upravama te položaju unutar organizacije.”

20.

Glavni carinski ured upozorio je Deutsche Post da bez njegove uske suradnje neće biti moguće utvrditi ispunjava li uvjete za odobrenje u skladu s Carinskim zakonikom. Upozorio ga je i da će opozvati trajna odobrenja ako ne bude surađivao ili ispunjavao navedene uvjete.

21.

Deutsche Post je pred sudom koji je uputio zahtjev podnio tužbu u kojoj je osporavao obvezu da Glavnom carinskom uredu) dostavi porezne identifikacijske brojeve (u daljnjem tekstu: porezni broj) osoba navedenih u Upitniku za samoprocjenu kao i podatke o njihovim nadležnim poreznim upravama. Tražio je od suda da utvrdi da nije obvezan ispuniti taj dio Upitnika.

22.

Deutsche Post je u prilog svojoj tužbi tvrdio:

23.

Glavni carinski ured nije se slagao s argumentima društva Deutsche Post te je naveo da je upit o poreznim brojevima nužan radi nedvojbene identifikacije dotičnih osoba u okviru upita podnesenog poreznim upravama. Razmjena informacija ponajprije je predviđena kada porezne uprave imaju saznanja o teškim ili ponovljenim povredama poreznih pravila. Ovdje se ne uzimaju u obzir završeni kazneni postupci ni postupci određivanja novčanih kazni. Ponavljane povrede poreznih pravila uzimaju se u obzir samo u slučaju učestalosti koja više nije razmjerna načinu i opsegu poslovne aktivnosti podnositelja zahtjeva.

24.

Prema mišljenju (Glavnog carinskog ureda), krug osoba na koje se odnose pitanja odgovara članku 24. stavku 1. drugom podstavku Provedbene uredbe i Smjernicama Komisije za ovlaštene gospodarske subjekte. Taj ured u svakom slučaju zasebno na temelju rizika utvrđuje za koje će se osobe konkretno provesti razmjena informacija s poreznim upravama. Što se tiče osoba koje rješavaju carinske stvari, Upitnik se kod većih odjela za carinske poslove ograničava na upravitelje i osobe na vodećim položajima.

25.

Finanzgericht Düsseldorf (Financijski sud u Düsseldorfu, Njemačka) dvoji o tome je li uvid u tražene osobne podatke (porezni brojevi i porezne uprave nadležne za naplatu poreza na dohodak osoba navedenih u točki 1.1.2. podtočki (c) te točkama 1.1.6. i 1.3.1. Upitnika) zakonita obrada navedenih podataka u skladu s Općom uredbom o zaštiti podataka i člankom 8. stavkom 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

26.

Također dvoji je li nužan uvid u osobne podatke tužiteljevih zaposlenika i članova nadzornog odbora prikupljene radi naplate poreza na dohodak, s obzirom na to da nisu izravno povezani s utvrđivanjem pouzdanosti tih osoba u pogledu carinskog prava ni s gospodarskim aktivnostima društva Deutsche Post.

27.

U tim je okolnostima taj sud odlučio Sudu uputiti sljedeće prethodno pitanje:

„Treba li članak 24. stavak 1. drugi podstavak Provedbene uredbe Komisije (EU) 2015/2447 od 24. studenoga 2015. o utvrđivanju detaljnih pravila za provedbu određenih odredbi Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća o utvrđivanju Carinskog zakonika Unije tumačiti na način da se njime carinskim tijelima dopušta da od podnositelja zahtjeva traže da ih obavijesti o poreznim identifikacijskim brojevima koje je izdao njemački Savezni središnji porezni ured u svrhu naplate poreza na dohodak i o poreznim upravama nadležnima za razrez poreza na dohodak članova nadzornog odbora podnositelja zahtjeva, njegovih članova uprave, voditelja odjela, voditelja računovodstva, voditelja carinskog odjela kao i osoba odgovornih za carinska pitanja i osoba koje rješavaju carinske stvari?”

28.

Pisana očitovanja podnijeli su Deutsche Post, Glavni carinski ured, španjolska, mađarska i talijanska vlada te Komisija. Na raspravi održanoj 5. srpnja 2018. sudjelovali su Deutsche Post, Glavni carinski ured i Komisija.

29.

Prije analize merituma, treba razjasniti koja su pravila Unije o zaštiti osobnih podataka primjenjiva na ovaj predmet.

30.

Zahtjev za dostavu podataka poslan je društvu Deutsche Post 19. travnja 2017., odnosno prije datuma stupanja na snagu Opće uredbe o zaštiti podataka (25. svibnja 2018.). Tada je na snazi bila Direktiva 95/46/EZ ( 8 ), unatoč tomu što sud koji je uputio zahtjev i stranke u prethodnom postupku, osim Komisije, smatraju da se primjenjuje navedena uredba.

31.

Objašnjenje za tu očitu nepravilnost može se pronaći u prirodi nacionalnog postupka. Kao što je to pojašnjeno na raspravi, Deutsche Post nije podnio tužbu za poništenje (Anfechtungsklage), koju bi sud trebao razmotriti u skladu s propisima na snazi u vrijeme nastanka činjenica iz glavnog postupka, nego deklaratornu tužbu (Feststellungsklage) ( 9 ), o kojoj treba odlučiti u skladu s pravnom situacijom koja je na snazi u vrijeme rasprave i izreke.

32.

Na sudu koji je uputio zahtjev jest da protumači svoje nacionalno postupovno pravo, o kojem Sud ne odlučuje. Stoga, ako na temelju unutarnjih pravila smatra da o sporu treba odlučivati ratione temporis u skladu s Općom uredbom o zaštiti podataka, a ne s Direktivom 95/46, Sud treba tumačiti Uredbu, a ne Direktivu ( 10 ).

33.

Prethodnim pitanjem traži se tumačenje, a ne eventualno proglašenje nevaljanosti članka 24. stavka 1. Provedbene uredbe te se u svrhu tog tumačenja trebaju uzeti u obzir Opća uredba o zaštiti podataka i članci 7. i 8. Povelje ( 11 ). Ponavljam da sud koji je uputio zahtjev nije pretpostavio moguću nevaljanost tog članka, u kojem se samo utvrđuju uvjeti za odobrenje statusa AEO‑a te koji sam po sebi ne zahtijeva od treće osobe ni prijenos ni obradu osobnih podataka.

34.

Statusom AEO‑a dodjeljuju se prednosti ( 12 ) gospodarskim subjektima koji se u okviru svojih carinskih postupaka smatraju pouzdanima na cijelom području Unije (članak 5. točka 5. Carinskog zakonika). Među navedenim prednostima ističe se, u skladu s člankom 38. stavkom 6. istog zakonika, povlašteniji tretman u odnosu na ostale gospodarske subjekte u pogledu carinskih provjera. Ovisno o vrsti izdanog odobrenja, AEO rjeđe je podvrgnut fizičkim provjerama i onima koje se temelje na ispravama.

35.

Budući da AEO‑i trebaju imati dokazanu pouzdanost i ugled, taj se status odobrava ako su ispunjeni uvjeti utvrđeni u članku 39. Carinskog zakonika ( 13 ), i to najprije:

36.

Ti se uvjeti primjenjuju na sve subjekte koji podnose zahtjev za status AEO‑a, bez obzira na to jesu li pravne ili fizičke osobe. U ovom slučaju, s obzirom na to da je Deutsche Post pravna osoba, zahtjev da osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana sa svojom gospodarskom djelatnosti odnosi se na neke od njegovih zaposlenika (zaposlenike na najvažnijim položajima koji se navode u nastavku) ( 14 ). Tako je utvrđeno u članku 24. Provedbene uredbe, odnosno odredbi donesenoj u skladu s člankom 39. točkom (a) Carinskog zakonika ( 15 ).

37.

Iz tih prigovora treba izuzeti, u skladu s člankom 24. Provedbene uredbe, „osob[u] koja je nadležna za podnositelja zahtjeva ili provodi kontrolu nad njegovim upravljanjem” i „zaposlenik[a] nadlež[nog] za carinska pitanja podnositelja zahtjeva” ( 16 ).

38.

Člankom 24. Provedbene uredbe određuju se granice koje carinska tijela ne smiju prijeći u svojim zahtjevima za dostavu informacija u pogledu kruga osoba koje provjeravaju. Carinska tijela također trebaju poštovati taj članak u skladu sa svrhom koja se treba postići prikupljanjem podataka o navedenim osobama.

39.

Prema logici članka 24. Provedbene uredbe, prilikom dodjele ( 17 ) statusa AEO‑a carinska tijela trebaju raspolagati određenim podacima o ključnim odgovornim osobama u poduzećima, kao i o fizičkim osobama koje upravljaju aktivnostima povezanima s carinom ( 18 ).

40.

Sadržaj članka 24. Provedbene uredbe jest ograničavajući: u njemu se navodi isključivo osoba koja je nadležna (za subjekt koji podnosi zahtjev za status AEO‑a) ili provodi kontrolu nad njegovim upravljanjem te zaposlenik odgovoran za carinska pitanja. U odredbi se upotrebljava jednina, tako da se nalaže njezino strogo tumačenje koje se također temelji na činjenici da su podaci koji se dostavljaju osobni podaci. Pravilom sekundarnog prava koje je hijerarhijski uvjetovano člankom 24. Provedbene uredbe, poput Priloga VI. Delegiranoj uredbi 2016/341, ne može se proširiti njegovo subjektivno područje primjene.

41.

Stoga carinska tijela mogu prikupljati osobne podatke samo:

42.

Polazeći od te pretpostavke, slažem se s mišljenjem suda koji je uputio zahtjev, koji smatra da zahtjev za dostavu osobnih podataka o članovima savjetodavnih i nadzornih tijela nekog poduzeća nije u skladu s člankom 24. Provedbene uredbe. Slijedom navedenog, u toj odredbi nema pravne osnove za traženje podataka o voditeljima drugih odjela i voditeljima računovodstva, osim ako te osobe imaju i ovlasti za donošenje konačnih odluka u poduzeću ili se u njemu bave carinskim pitanjima.

43.

Kao što sam to već naveo, u skladu s člankom 24. Provedbene uredbe, mogu se prikupljati samo podaci nužni za provjeru nepostojanja „tešk[e] povred[e] ili ponovljene povrede carinskog zakonodavstva i poreznih pravila” te nepostojanja „tešk[ih] kaznen[ih] djela povezan[ih] s njihovom gospodarskom djelatnosti”.

44.

To je stoga jedina svrha kojom se carinska tijela prilikom prikupljanja podataka trebaju voditi. Međutim, u toj odredbi nije točno određeno koja je vrsta podataka primjerena za postizanje tog cilja; na državama je članicama da ih utvrde, pod pretpostavkom da su ti podaci isključivo oni koji su nužni za utvrđivanje (ne)postojanja ponašanja koje utječe na pouzdanost ključnih odgovornih osoba u poduzeću.

45.

U svrhu provjere potrebnog integriteta prethodno navedenih zaposlenika u poduzeću koje je kandidat za status AEO‑a, kojim bi carinskoj upravi dokazali da mogu u njih imati povjerenje, članak 24. Provedbene uredbe upućuje na tri kategorije povreda:

46.

Kakve podatke smiju prikupljati carinska tijela, u skladu s člankom 24. Provedbene uredbe, kako bi prilikom dodjele statusa AEO‑a otkrila da su počinjene te povrede?

47.

Glavni carinski ured tvrdi da su mu potrebni porezni brojevi i podaci o poreznim upravama upraviteljâ i zaposlenikâ društva Deutsche Post koji provode nadzor nad upravljanjem carinskim pitanjima u poduzeću. Tvrdi da samo tako može utvrditi jesu li te osobe počinile teške povrede ili ponovljene povrede poreznog zakonodavstva, s obzirom na to da u Njemačkoj mnogim porezima upravljaju regionalna tijela. Porezni broj osnovni je podatak na temelju kojeg bi se od tih tijela točno tražile potrebne informacije o tim osobama.

48.

Suprotno tomu, Deutsche Post tvrdi da su okolnosti poreza na dohodak njegovih zaposlenika nevažne za ocjenu pitanja jesu li počinjene teške ili ponovljene povrede poreznih pravila. Stoga priopćavanje njihovih poreznih brojeva nije nužno ni primjereno za utvrđivanje pouzdanosti tih osoba u upravljanju carinskim pitanjima.

49.

Iz pisanih očitovanja i objašnjenja iznesenih na raspravi proizlazi da je porezni broj osobni identifikator koji se upotrebljava u raznovrsnim poslovima između fizičkih osoba i njemačke porezne uprave. Dogovoreno je da se najprije upotrebljava za upravljanje porezom na dohodak, čime se pojašnjava njegova povezanost s podacima o poreznim upravama nadležnima za njegov obračun u glavnom postupku.

50.

Tumačenje njemačkog prava nije na Sudu, nego na sudu koji je uputio zahtjev. Potonji tvrdi da se porezni brojevi koje je zaposlenicima društva Deutsche Post dodijelio Savezni središnji porezni ured (članak 139.a stavak 1. prva rečenica Poreznog zakonika) mogu prikupiti i pohraniti samo u svrhu naplate poreza na dohodak u obliku ustezanja poreza na plaće (članak 39.e stavak 4. prvi podstavak točka 1. Zakona o porezu na dohodak).

51.

Prema mišljenju suda koji je uputio zahtjev, osobni podaci zaposlenikâ društva Deutsche Post, prikupljeni u već navedenu svrhu, nisu izravno povezani s gospodarskim aktivnostima tog društva pa stoga nisu relevantni za utvrđivanje pouzdanosti tih osoba u carinske svrhe ( 23 ).

52.

Međutim, smatram da, s gledišta carinskog zakonodavstva, njemačku upravu ništa ne sprečava da traži porezni broj (i podatke o upravi nadležnoj za naplatu poreza na dohodak) upravitelja i osobe nadležne za carinska pitanja u poduzeću koje nastoji dobiti status AEO‑a. Ne dovodeći u pitanje ono što ću iznijeti u nastavku o zaštiti tih osobnih podataka, njihova evidencija može poslužiti za provjeru da te osobe nisu počinile nikakvu povredu.

53.

Argumentacija suda koji je uputio zahtjev može biti relevantna u slučaju kad postoje odstupanja (na koja, čini se, upućuje) između informacija dobivenih na temelju poreznog broja, koje se nužno odnose na fizičke osobe, i aktivnosti poduzeća. Tom se provjerom upravo nastoji utvrditi jesu li obje fizičke osobe koje obavljaju važne funkcije u subjektu koji je kandidat za status AEO‑a u posljednje tri godine samostalno djelovale (one, a ne poduzeće) na način da nisu pouzdane te, ako se utvrdi da su u prošlosti bile kažnjavane, takoreći narušile poštenost subjekta u kojem upravljaju općim poslovanjem ili carinskim poslovima.

54.

Poput drugih sličnih poreznih podataka koje je Sud tako kvalificirao ( 24 ), porezni broj osobni je podatak u smislu članka 4. stavka 1. Opće uredbe o zaštiti podataka, odnosno podatak koji se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi ( 25 ).

55.

Zbog saveznog uređenja njemačkog poreznog sustava, navođenje poreznih uprava nadležnih za razrez poreza na dohodak određene osobe u zahtjevu za prethodnu odluku usko je povezano s poreznim brojem. U tim okolnostima porezni podatak o pojedincu čiji je identitet utvrđen ili se može utvrditi može se smatrati akcesornim.

56.

Kao što to ističe sud koji je uputio zahtjev, automatiziranim preuzimanjem poreznog broja omogućava se pristup osobito osjetljivim informacijama ( 26 ). Stoga uprava raspolaže instrumentima koji omogućavaju utvrđivanje identiteta osobe koja je nositelj i pristup određenim informacijama o njezinu privatnom i obiteljskom životu.

57.

Aktivnosti koje se provode nad poreznim brojem u okviru poslova između carinske uprave i kandidata za status AEO‑a mogu se smatrati prikupljanjem ili otkrivanjem prijenosom. U obama slučajevima dolazi do obrade podataka u smislu članka 4. stavka 2. Uredbe za zaštitu podataka. Njemačka carinska uprava prikuplja porezne brojeve te ih uređuje i upotrebljava kako bi od nadležnih poreznih uprava mogla tražiti informacije o mogućim teškim povredama ili ponovljenim povredama poreznog zakonodavstva koje su počinile dotične osobe. Sâmo prikupljanje takvih podataka podrazumijeva njihovu obradu, što se u najvećoj mjeri odnosi na njihovo uređivanje i kasniju upotrebu radi pristupa podacima o tim osobama ( 27 ).

58.

Sud je isto tako smatrao da se radi o obradi podataka kad se podaci prenose od jednog do drugog javnog tijela ( 28 ) te kad zaposlenik dostavi osobne podatke nekom nacionalnom tijelu ( 29 ). Stoga je prijenos osobnih podataka upraviteljâ i zaposlenikâ Glavnom carinskom uredu koji je izvršilo društvo Deutsche Post „obrada podataka” u smislu Opće uredbe o zaštiti podataka.

59.

Člankom 5. stavkom 1. točkom (b) Opće uredbe o zaštiti podataka kao temeljno načelo obrade navodi se načelo ograničavanja svrhe, prema kojem „[o]sobni podaci moraju biti […] prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama” ( 30 ).

60.

Stoga je potrebno odlučiti je li činjenica da njemačka carinska tijela upotrebljavaju porezne brojeve upraviteljâ i osoba nadležnih za carinska pitanja u društvu Deutsche Post zatražene od potonjeg subjekta u skladu s ciljem prikupljanja tih osobnih podataka koji se nastoji postići unutarnjim zakonodavstvom.

61.

Sud koji je uputio zahtjev izražava dvojbe u tom pogledu ( 31 ) i smatra da ne postoji izravna veza između poreznih brojeva i poreznih uprava nadležnih za razrez poreza na dohodak upraviteljâ i zaposlenikâ te aktivnosti društva Deutsche Post povezanih s carinom. Kao što je to istaknuto na raspravi i kao što sam to ranije pojasnio, njemačkim se pravom predviđa upotreba tih poreznih podataka najprije, ali ne i isključivo tijekom radnog odnosa zasnovanog između poslodavca i zaposlenika za potrebe naplate poreza na dohodak.

62.

Naime, porezni brojevi (i dodatno navođenje poreznih uprava nadležnih za razrez poreza na dohodak) osobni su podaci koji nisu namijenjeni njihovoj upotrebi u okviru poslovanja između poduzetnika i njemačke carinske uprave radi pribavljanja ili zadržavanja statusa AEO‑a. Stoga se radi o obradi osobnih podataka koja načelno nije u skladu sa svrhom u koju su prikupljeni, što je protivno pravilu iz članka 5. stavka 1. točke (b) Opće uredbe o zaštiti podataka.

63.

Međutim, obrada osobnih podataka ove vrste mogla bi se obrazložiti. Primjerice, bilo bi dovoljno da dotične fizičke osobe daju privolu u skladu s člankom 6. stavkom 1. točkom (a) Opće uredbe o zaštiti podataka. No, budući da je u spisu predmeta navedeno da se zaposlenici društva Deutsche Post protive toj obradi, to se rješenje ne može primijeniti.

64.

Druga moguća obrazloženja navedena su u članku 6. stavku 1. ( 32 ), na temelju kojeg je obrada podataka zakonita ako je nužna „radi poštovanja pravnih obveza voditelja obrade” (točka (c)) ili „za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade” (točka (e)) ( 33 ). U obama slučajevima člankom 6. stavkom 3. Opće uredbe o zaštiti podataka propisuje se da se pravna osnova za obradu utvrđuje u pravu Unije ili pravu države članice kojem voditelj obrade podliježe.

65.

Zakonitost zahtjeva i obrade osobnih podataka koje carinska uprava dostavlja društvu Deutsche Post temelji se na pravnoj obvezi ( 34 ) koja se nalaže toj upravi da provjeri da se status AEO‑a dodjeljuje samo poduzećima čiji upravitelji i osobe nadležne za carinska pitanja nisu počinili ranije spomenute povrede. Ta pravna obveza u konačnici proizlazi iz članka 24. Provedbene uredbe. Stoga smatram da navedeno obrazloženje proizlazi iz članka 6. stavka 1. točke (c) Opće uredbe o zaštiti podataka.

66.

Zakonitost obrade poreznih brojeva upravitelja i osobe nadležne za carinska pitanja u nekom poduzeću u svrhu dodjele statusa AEO‑a može se temeljiti i na „izvršavanju službene ovlasti voditelja obrade” (članak 6. stavak 1. točka (e) Opće uredbe o zaštiti podataka) ( 35 ), s obzirom na to da je ta obrada nužna kako bi carinska uprava izvršavala javne ovlasti koje su joj dodijeljene radi kontrole poduzeća sa statusom AEO‑a. Taj status pretpostavlja određeno delegiranje zadaća carinskog nadzora u korist AEO‑a, što se protivi širokoj ovlasti uprave za provjeru i nadzor njihove pouzdanosti.

67.

Zahtjev i obrada podataka na koje se odnosi spor, koji su zakoniti jer se temelje na članku 6. stavku 1. točkama (c) i (e), mogu dovesti do određenih ograničenja prava koja se člancima 12. do 22. Opće uredbe o zaštiti podataka dodjeljuju osobama čiji se osobni podaci obrađuju. Na sudu koji je uputio zahtjev jest da utvrdi ograničava li Glavni carinski ured obradom tih podataka neko od tih prava dotičnih osoba, primjerice, pravo na pristup, ispravak, brisanje ili prigovor.

68.

Ta se ograničenja, ako postoje, mogu opravdati nekim od „važnih ciljeva od općeg javnog interesa Unije ili države članice, osobito važnog gospodarskog ili financijskog interesa Unije ili države članice, što uključuje monetarna, proračunska i porezna pitanja, javno zdravstvo i socijalnu sigurnost” (članak 23. stavak 1. točka (c)). Mjera kojom se propisuju ograničenja treba, osim toga, poštovati „bit temeljnih prava i sloboda” te treba biti „nužn[a] i razmjern[a] […] u demokratskom društvu” ( 36 ).

69.

Prema mojem mišljenju, svrha osiguravanja pouzdanosti upravitelja i osobe nadležne za carinska pitanja u nekom poduzeću u pogledu carinskog prava u svrhu dodjele statusa AEO‑a odgovara cilju od općeg javnog interesa Unije ili Njemačke Države s gospodarskog, poreznog i proračunskog gledišta. Provjera pouzdanosti AEO‑a pridonosi naplati carinskih pristojbi, koje su jedno od vlastitih sredstava Unije, a koje uplaćuju države članice i koje se prenose u proračun Unije nakon odvajanja određenog postotka za administrativno upravljanje.

70.

Nedostatak integriteta upravitelja poduzeća i osobe nadležne za carinska pitanja čimbenik je kojim se može ugroziti pouzdanost navedenog poduzeća u pogledu carinskog prava te izravno utjecati na dodjelu statusa AEO‑a ( 37 ). Kao što sam to napomenuo u svojem mišljenju u predmetu Impresa di Costruzioni Ing. E. Mantovani i Guerrato ( 38 ), logično je nepostojanje vjerodostojnosti društva ocjenjivati s obzirom na kaznena djela koja su počinile osobe odgovorne za upravljanje društvom.

71.

Tom se okolnošću opravdava činjenica da carinska uprava može ispitati poreznu dokumentaciju tih upravitelja, koja uključuje povijest njihova postupanja u pogledu poreza na dohodak. Ako upravitelj poduzeća ili osoba nadležna za carinska pitanja počini povrede povezane s plaćanjem tog poreza ili bilo kojeg drugog poreza, shvaćam da carinska uprava mora imati pristup podacima o takvim povredama.

72.

U tom istom smislu, prikupljanje i upotreba podataka te vrste proporcionalna su sredstva za postizanje cilja iz članka 24. stavka 1. Provedbene uredbe ( 39 ). U skladu s tvrdnjama koje je na raspravi iznio Savezni središnji porezni ured, u njemačkom pravu ne postoje druga, manje ograničavajuća sredstva, s obzirom na to da savezno uređenje Njemačke Države znači da nekim porezima, poput poreza na dohodak, upravljaju regionalna tijela. Porezni broj najprimjerenije je sredstvo posredstvom kojeg će (savezna) carinska uprava zatražiti i pribaviti porezne podatke koje imaju različita regionalna tijela ( 40 ).

73.

Valja navesti dva posljednja pojašnjenja:

74.

S obzirom na sva prethodna razmatranja, predlažem Sudu da Finanzgerichtu Düsseldorf (Financijski sud u Düsseldorfu, Njemačka) odgovori na sljedeći način: