–

w imieniu Deutsche Post AG przez U. Möllenhoffa, Rechtsanwalt,

–

w imieniu Hauptzollamt Köln przez W. Liebego, M. Grevego-Giesowa i M. Hageroth, działających w charakterze pełnomocników,

–

w imieniu rządu hiszpańskiego przez S. Jiménez Garcíę i V. Ester Casas, działających w charakterze pełnomocników,

–

w imieniu rządu włoskiego przez G. Palmieri, działającą w charakterze pełnomocnika, wspieraną przez G. Albenzia, avvocato dello Stato,

–

w imieniu rządu węgierskiego przez M.Z. Fehéra, G. Koósa i R. Kissné Bertę, działających w charakterze pełnomocników,

–

w imieniu Komisji Europejskiej przez B.R. Killmanna i F. Clotuche-Duvieusart, działających w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego Komisji (UE) 2015/2447 z dnia 24 listopada 2015 r. ustanawiającego szczegółowe zasady wykonania niektórych przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 ustanawiającego unijny kodeks celny (Dz.U. 2015, L 343, s. 558).

2

Wniosek ten został złożony w ramach sporu między Deutsche Post AG i Hauptzollamt Köln (głównym urzędem celnym w Kolonii, Niemcy, zwanym dalej „Hauptzollamt”) w przedmiocie charakteru i zakresu dotyczących osób trzecich danych osobowych podlegających przedłożeniu w celu uzyskania przez przedsiębiorstwo statusu upoważnionego przedsiębiorstwa, o którym mowa w art. 39 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 z dnia 9 października 2013 r. ustanawiającego unijny kodeks celny (Dz.U. 2013, L 269, s. 1, zwany dalej „kodeksem celnym”).

3

Tytuł I kodeksu celnego obejmuje rozdział 2 zatytułowany „Prawa i obowiązki osób wynikające z przepisów prawa celnego”, który zawiera sekcję 4 zatytułowaną „Upoważniony przedsiębiorca” (zwany dalej „AEO”), w skład której wchodzą art. 38–41.

4

Artykuł 38 tego kodeksu przewiduje:

„1.   Przedsiębiorca mający siedzibę na obszarze celnym Unii i spełniający kryteria określone w art. 39 może złożyć wniosek o przyznanie statusu upoważnionego przedsiębiorcy.

Status ten przyznawany jest przez organy celne – w stosownych przypadkach po przeprowadzeniu konsultacji z innymi właściwymi organami – i podlega monitorowaniu.

2.   Status [AEO] obejmuje następujące rodzaje upoważnienia:

[…]

5.   Po uznaniu statusu [AEO] w zakresie uproszczeń celnych i pod warunkiem spełnienia wymogów związanych z określonym rodzajem uproszczenia przewidzianych w przepisach prawa celnego organy celne zezwalają przedsiębiorcy na korzystanie z tego uproszczenia. Organy celne nie sprawdzają ponownie tych kryteriów, które zostały już sprawdzone przy przyznawaniu statusu [AEO].

6.   [AEO], o którym nowa w ust. 2, jest uprzywilejowany w stosunku do innych przedsiębiorców pod względem kontroli celnych zgodnie z rodzajem przyznanego upoważnienia, w tym podlega mniejszej liczbie kontroli fizycznych i kontroli dokumentów.

[…]”.

5

Artykuł 39 kodeksu stanowi:

„Kryteria przyznawania statusu [AEO] obejmują:

[…]”.

6

Zgodnie z art. 41 akapit pierwszy tego kodeksu:

„Komisja przyjmuje, w drodze aktów wykonawczych, sposoby stosowania kryteriów, o których mowa w art. 39”.

7

Tytuł I rozporządzenia nr 2015/2447 obejmuje rozdział 2 zatytułowany „Prawa i obowiązki osób wynikające z przepisów prawa celnego”, który zawiera sekcję 3 zatytułowaną „Upoważniony przedsiębiorca”, w skład której wchodzą art. 24–35.

8

Zgodnie z art. 24 ust. 1 akapit drugi tego rozporządzenia:

„W przypadku gdy wnioskodawca nie jest osobą fizyczną, kryterium ustanowione w art. 39 lit. a) kodeksu [celnego] uznaje się za spełnione, jeżeli w ciągu ostatnich trzech lat żadna z następujących osób nie dopuściła się poważnego lub powtarzającego się naruszenia przepisów prawa celnego i podatkowego ani poważnego przestępstwa karnego w związku z prowadzoną działalnością gospodarczą:

9

Motyw 9 rozporządzenia delegowanego Komisji (UE) 2016/341 z dnia 17 grudnia 2015 r. uzupełniającego rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 952/2013 w odniesieniu do przepisów przejściowych dotyczących niektórych przepisów unijnego kodeksu celnego w okresie, gdy nie działają jeszcze odpowiednie systemy teleinformatyczne, i zmieniające rozporządzenie delegowane Komisji (UE) 2015/2446 (Dz.U. 2016, L 69, s. 1) stanowi:

„Ponieważ system teleinformatyczny konieczny do stosowania przepisów kodeksu regulujących zarówno wnioski o przyznanie statusu [AEO], jak i pozwolenia przyznające ten status wymaga jeszcze aktualizacji, należy nadal stosować obecne środki, w formie papierowej i elektronicznej, do czasu aktualizacji tego systemu”.

10

Artykuł 1 tego rozporządzenia stanowi:

„1.   Niniejsze rozporządzenie ustanawia środki przejściowe w zakresie środków wymiany i przechowywania danych, o których to środkach mowa w art. 278 kodeksu, do czasu wdrożenia systemów teleinformatycznych niezbędnych do stosowania przepisów kodeksu.

2.   Wymogi dotyczące danych, formatów i kodów, które należy stosować w okresach przejściowych określonych w niniejszym rozporządzeniu, w rozporządzeniu delegowanym [Komisji] (UE) 2015/2446 [z dnia 28 lipca 2015 r. uzupełniającym rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 952/2013 w odniesieniu do szczegółowych zasad dotyczących niektórych przepisów unijnego kodeksu celnego (Dz.U. 2015, L 343, s. 1)] oraz w rozporządzeniu wykonawczym [2015/2447], określono w załącznikach do niniejszego rozporządzenia”.

11

Rozporządzenie delegowane 2016/341 zawiera rozdział 1 zatytułowany „Przepisy ogólne”, który obejmuje sekcję 3 zatytułowaną „Wniosek o przyznanie statusu AEO”, w ramach której art. 5 stanowi:

„1.   Do daty aktualizacji systemu AEO, o której mowa w załączniku do decyzji wykonawczej [Komisji] 2014/255/UE [z dnia 29 kwietnia 2014 r. ustanawiającej program prac związanych z unijnym kodeksem celnym (Dz.U. 2014, L 134, s. 46)], organy celne mogą zezwolić, w odniesieniu do wniosków i decyzji dotyczących AEO lub wszelkich późniejszych zdarzeń, które mogą mieć wpływ na pierwotny wniosek lub decyzję, na wykorzystanie środków innych niż techniki elektronicznego przetwarzania danych.

2.   W przypadkach, o których mowa w ust. 1 niniejszego artykułu, zastosowanie mają następujące postanowienia:

[…]”.

12

Załącznik 6 do tego rozporządzenia obejmuje część zatytułowaną „Uwagi wyjaśniające”. Punkt 19 tych uwag, dotyczący nazwy, daty i podpisu wnioskodawcy, wskazuje w szczególności:

„[…]

Liczba załączników: wnioskodawca podaje następujące informacje ogólne:

[…]

[…]”.

13

Artykuł 2 dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355) stanowi:

„Do celów niniejszej dyrektywy:

[…]”.

14

Artykuł 6 wspomnianej dyrektywy miał następujące brzmienie:

„1.   Państwa członkowskie zapewniają, aby dane osobowe były:

[…]

2.   Na administratorze danych spoczywa obowiązek zapewnienia przestrzegania przepisów ust. 1”.

15

Zgodnie z art. 7 rzeczonej dyrektywy:

„Państwa członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas, gdy:

[…]

[…]”.

16

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1) weszło w życie w dniu 24 maja 2016 r. Uchyliło ono dyrektywę 95/46 ze skutkiem na dzień 25 maja 2018 r.

17

Artykuł 4 tego rozporządzenia zawiera w szczególności następujące definicje:

„Na użytek niniejszego rozporządzenia:

[…]”.

18

Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:

„1.   Dane osobowe muszą być:

[…]

2.   Administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać jego przestrzeganie (»rozliczalność«)”.

19

Artykuł 6 wspomnianego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi:

„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

[…]

[…]

3.   Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

Cel przetwarzania musi być określony w tej podstawie prawnej […]. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.

[…]”.

20

Paragraf 139a ust. 1 Abgabenordnung (niemieckiej ordynacji podatkowej, zwanej dalej „AO”) w brzmieniu obowiązującym w postępowaniu głównym, stanowi:

„Dla celów jednoznacznej identyfikacji w postępowaniach podatkowych Bundeszentralamt für Steuern nadaje każdemu podatnikowi jednolity i trwały znak (znak identyfikacyjny); podatnik lub osoba trzecia, przekazująca dane tego podatnika organom skarbowym, podają ów znak identyfikacyjny we wnioskach, zeznaniach oraz informacjach składanych organom skarbowym. Składa się on z ciągu cyfr, które nie mogą opierać się na innych danych dotyczących podatnika lub być ich pochodną; ostatnia cyfra jest cyfrą kontrolną […]”.

21

Paragraf 139b AO, zatytułowany „Numer identyfikacyjny”, stanowi:

„1.   Osoba fizyczna może otrzymać nie więcej niż jeden numer identyfikacyjny […].

2.   Organy skarbowe mogą wzywać do podania i stosować numer identyfikacyjny jedynie wtedy, gdy jest to konieczne w celu wykonania swoich ustawowych zadań lub gdy przepis prawa wprost zezwala na wezwanie do podania lub stosowanie numeru identyfikacyjnego lub to nakazuje. Inne organy publiczne lub niepubliczne mogą:

[…]”.

22

Paragraf 38 ust. 1 i 3 Einkommensteuergesetz (ustawy o podatku dochodowym, zwanej dalej „EStG”), w wersji mającej zastosowanie w postępowaniu głównym, ma następujące brzmienie:

„1.   W przypadku dochodów ze stosunku pracy podatek dochodowy od osób fizycznych jest pobierany przez potrącenie z wynagrodzenia (podatek od wynagrodzenia), o ile wynagrodzenie wypłacane jest przez pracodawcę […].

[…]

3.   Pracodawca pobiera podatek od wynagrodzenia na rachunek pracownika przy każdej wypłacie wynagrodzenia […]”.

23

Zgodnie z § 39 ust. 1 EStG, zatytułowanym „Dane indywidualne przeznaczone do obliczenia wysokości potrącenia u źródła podatku od wynagrodzenia”:

„Dla celów dokonania potrącenia u źródła podatku od wynagrodzenia ustala się z inicjatywy pracownika wskaźniki potrącenia podatku od wynagrodzenia […]”.

24

Zgodnie z § 39e EStG, zatytułowanym „Postępowanie w celu ustalenia i stosowania zapisanych elektronicznie wskaźników potrącenia podatku od wynagrodzenia”:

„1.   Bundeszentralamt für Steuern ustala dla każdego pracownika zasadniczo automatycznie grupę podatkową oraz, w odniesieniu do dzieci podlegających uwzględnieniu w przypadku grup podatkowych I–IV, liczbę kwot wolnych od podatku ze względu na dziecko […], będące wskaźnikami potrącenia podatku od wynagrodzenia (§ 39 ust. 4 zdanie pierwsze pkt 1 i 2) […]. Jeśli urząd skarbowy ustali wskaźniki potrącenia podatku od wynagrodzenia zgodnie z § 39, to przekazuje je Bundeszentralamt für Steuern w celu udostępnienia ich do automatycznego pobrania przez pracodawcę […].

2.   W celu udostępnienia wskaźników potrącenia podatku od wynagrodzenia do automatycznego pobrania przez pracodawcę Bundeszentralamt für Steuern przechowuje wskaźniki potrącenia podatku od wynagrodzenia dla numeru identyfikacyjnego, jak również w odniesieniu do każdego podatnika, poza danymi określonymi w § 139b ust. 3 [AO]:

[…]

4.   W momencie nawiązania stosunku pracy pracownik przekazuje każdemu ze swoich pracodawców, w celu pobrania przez nich wskaźników poboru podatku od wynagrodzenia, informacje o:

[…].

W momencie rozpoczęcia stosunku pracy pracodawca zwraca się do Bundeszentralamt für Steuern w drodze zdalnej transmisji danych o podanie zapisanych elektronicznie wskaźników poboru podatku od wynagrodzenia w odniesieniu do pracownika i uwzględnia je w koncie wynagrodzenia pracownika”.

25

Spółka Deutsche Post korzystała ze statusu upoważnionego przedsiębiorcy oraz z pozwolenia stosowania generalnego zabezpieczenia, które stanowiły ułatwienia w ramach unijnej procedury celnej.

26

Ponieważ kodeks celny zmienił indywidualne warunki przyznawania pozwoleń w dziedzinie ceł, Hauptzollamt, pismem z dnia 19 kwietnia 2017 r., zwrócił się do Deutsche Post o udzielenie odpowiedzi na kwestionariusz samooceny, w którym spółka ta miała precyzyjnie wskazać członków komitetów doradczych oraz członków zarządu, głównych pracowników szczebla kierowniczego (dyrektorów zarządzających, kierowników działów, głównych księgowych, kierowników działu celnego itp.), osób odpowiedzialnych za administrowanie sprawami celnymi lub tych, którzy są odpowiedzialni za ich prowadzenie, poprzez przekazanie w szczególności numerów identyfikacji podatkowej każdej z tych osób fizycznych oraz danych organów administracji skarbowej właściwych dla nich.

27

Hauptzollamt uściślił wobec spółki Deutsche Post, że w wypadku braku skutecznej współpracy z jej strony będzie niemożliwe ustalenie, czy były spełnione warunki uzyskania pozwolenia przewidziane w kodeksie celnym oraz że na wypadek gdyby takie warunki nie były już spełnione, urząd ten wycofuje pozwolenia, z których spółka korzystała.

28

W drodze skargi wniesionej do Finanzgericht Düsseldorf (sądu ds. finansowych w Düsseldorfie, Niemcy) spółka Deutsche Post podważa obowiązek przekazania Hauptzollamt numerów identyfikacji podatkowej określonych osób oraz adresów właściwych dla nich urzędów skarbowych.

29

Podnosi ona, że krąg osób z jej przedsiębiorstwa wskazanych w pytaniach skierowanych przez Hauptzollamt jest szeroki, że część z tych osób nie jest skłonna zgodzić się na przekazanie ich danych osobowych oraz że wykracza on poza krąg osób wymienionych w art. 24 ust. 1 akapit drugi rozporządzenia 2015/2447. Spółka ta stoi na stanowisku, że sprawy jej pracowników w zakresie podatku dochodowego od osób fizycznych są nieistotne dla oceny, czy doszło do poważnych lub powtarzających się naruszeń przepisów prawa celnego i podatkowego albo do poważnych przestępstw karnych w związku z prowadzoną przez nią działalnością gospodarczą. Jej zdaniem uzyskiwanie numerów identyfikacji podatkowej nie jest ani wymagane, ani odpowiednie w celu ustalania rzetelności tych osób w zakresie spraw celnych, ponieważ weryfikowanie osobistej sytuacji podatkowej wszystkich osób objętych pytaniami ma charakter nieproporcjonalny z punktu widzenia tego celu.

30

Hauptzollamt wnosi o oddalenie skargi. Zasadniczo podnosi on, że uzyskanie numerów identyfikacji podatkowej jest niezbędne w celu jednoznacznej identyfikacji odnośnych osób w ramach zapytania do urzędów skarbowych, że wymiana informacji przewidziana jest jedynie w sytuacji posiadania przez urzędy skarbowe informacji o poważnych lub powtarzających się naruszeniach przepisów prawa podatkowego, przy czym nie bierze się przy tym pod uwagę umorzonych postępowań w sprawach karnych i w sprawach o grzywnę oraz że powtarzające się naruszenia przepisów prawa podatkowego uwzględniane są jedynie w przypadku, gdy częstotliwość ich występowania jest nieproporcjonalna do rodzaju i zakresu działalności gospodarczej wnioskodawcy. Twierdzi on, że krąg osób objętych pytaniami jest zgodny z przepisami celnymi Unii.

31

Zdaniem sądu odsyłającego rozstrzygnięcie sporu jest uzależnione od interpretacji art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 w świetle art. 8 Karty praw podstawowych Unii Europejskiej i rozporządzenia 2016/679, ponieważ numery identyfikacji podatkowej osób, których dotyczą pytania, oraz dane adresowe urzędów skarbowych właściwych dla tych osób stanowią dane osobowe.

32

Po pierwsze, sąd stawia sobie pytanie odnośnie do kwestii, czy przekazanie takich danych stanowi dopuszczalne przetwarzanie w świetle rozporządzenia wykonawczego 2015/2447. Po drugie, sąd ma wątpliwości, czy można uznać za niezbędne sięganie do danych osobowych pracowników i członków rady nadzorczej Deutsche Post zebranych w celu potrącenia podatku dochodowego w drodze potrącenia podatku od wynagrodzenia.

33

Sąd odsyłający twierdzi, że dane osobowe tych pracowników nie mają bezpośredniego związku z oceną rzetelności Deutsche Post w świetle przepisów prawa celnego i nie mają żadnego związku z działalnością gospodarczą tej spółki.

34

Sąd stawia sobie pytanie, czy w świetle art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej i zasady proporcjonalności, administracja celna może żądać danych osobowych takich jak numery identyfikacji podatkowej określonych osób oraz dane adresowe urzędów skarbowych właściwych w przedmiocie wymiaru podatku dochodowego tych osób. Zauważa on, że członkowie rady nadzorczej nie są wymienieni w załączniku 6 do rozporządzenia delegowanego 2016/341 oraz że – podobnie jak kierownicy działu i osoby odpowiedzialne za dział księgowości – nie są odpowiedzialni za kwestie dotyczące przepisów celnych.

35

W tych okolicznościach Finanzgericht Düsseldorf (sąd ds. finansowych w Düsseldorfie) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:

„Czy art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego [2015/2447] należy interpretować w ten sposób, że na jego podstawie dopuszczalne jest, by organy celne wzywały wnioskodawcę do podania numerów identyfikacji podatkowej nadanych przez niemiecki Bundeszentralamt für Steuern (federalny centralny urząd skarbowy) dla celów poboru podatku dochodowego od osób fizycznych oraz urzędów skarbowych właściwych w sprawach wymiaru podatku dochodowego od osób fizycznych w odniesieniu do członków rady nadzorczej wnioskodawcy oraz działających u niego dyrektorów zarządzających, kierowników działów, kierownika księgowości, kierownika działu celnego, jak również osób odpowiedzialnych za sprawy celne i osób zajmujących się sprawami celnymi?”.

36

Zainteresowane strony, z wyjątkiem Komisji Europejskiej, w celu dostarczenia odpowiedzi na zadane pytanie opierają się na rozporządzeniu 2016/679, do którego odwołuje się także sąd odsyłający.

37

W tym względzie Komisja zauważa, że skoro okoliczności faktyczne w postępowaniu głównym miały miejsce w kwietniu 2017 r., to w tym postępowaniu zastosowanie znajduje dyrektywa 95/46.

38

Tymczasem, mając na uwadze deklaratoryjny charakter skargi przed sądem krajowym (Feststellungsklage), jest niewykluczone, że to rozporządzenie podlega zastosowaniu ratione temporis dla rozstrzygnięcia sporu w postępowaniu głównym, albowiem rozprawa nie pozwoliła na wyjaśnienie tej kwestii.

39

Należy zatem udzielić odpowiedzi na to pytanie zarówno w świetle dyrektywy 95/46, jak i rozporządzenia 2016/679.

40

Poprzez pytanie prejudycjalne sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 w związku z dyrektywą 95/46 oraz rozporządzeniem 2016/679 należy interpretować w ten sposób, że organy celne mogą wymagać od podmiotu ubiegającego się o przyznanie statusu AEO, aby przekazał on numery identyfikacji podatkowej, przyznane dla celów potrącenia podatku dochodowego w odniesieniu do członków rady nadzorczej tego podmiotu oraz jego pracowników pełniących funkcję dyrektora generalnego, kierowników działów, głównych księgowych, kierowników działów celnych, w tym osób zarządzających kwestiami celnymi oraz tych odpowiedzialnych za prowadzenie spraw celnych, jak również dane adresowe urzędów skarbowych właściwych dla tych osób.

41

W pierwszej kolejności należy podkreślić, że art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 stanowi, iż w przypadku gdy wnioskodawca o przyznanie statusu AEO nie jest osobą fizyczną, kryterium ustanowione w art. 39 lit. a) kodeksu celnego uznaje się za spełnione, jeżeli w ciągu ostatnich trzech lat żadna z danych osób nie dopuściła się poważnego lub powtarzającego się naruszenia przepisów prawa celnego i podatkowego ani poważnego przestępstwa karnego w związku z prowadzoną przez nią działalnością gospodarczą.

42

Chodzi jedynie o wnioskodawcę, osobę kierującą wnioskodawcą lub sprawującą kontrolę nad jego kierownictwem oraz pracownika odpowiedzialnego za sprawy celne. Z analizy tego przepisu wynika, że owa lista wydaje się mieć wyczerpujący charakter.

43

Nie można zatem przyjąć, że art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 można interpretować w ten sposób, iż odnosi się on do osób fizycznych innych niż osoby odpowiedzialne za skarżącego, które sprawują kontrolę nad jego kierownictwem lub które są w nim odpowiedzialne za sprawy celne. Przepis ten nie obejmuje zatem członków komitetów konsultacyjnych i rad nadzorczych osoby prawnej, kierowników działów, z wyjątkiem tych, którzy są odpowiedzialni za sprawy celne w ramach wnioskodawcy, głównych księgowych i osób odpowiedzialnych za prowadzenie spraw celnych.

44

Dyrektorzy generalni mogą ze swej strony być zobowiązani do spełnienia wymogów tego przepisu, jeżeli w sytuacji takiej jak w postępowaniu głównym należałoby uznać ich za osoby odpowiedzialne za wnioskodawcę lub sprawujące kontrolę nad jego kierownictwem.

45

Wprawdzie rozporządzenie delegowane 2016/341 przewiduje w pkt 19 uwag wyjaśniających znajdujących się w załączniku 6 do tego aktu, że wnioskodawca o przyznanie statusu AEO dostarcza, w załączniku do sporządzonego przez niego formularza wniosku o przyznanie takiego statusu, nazwiska i stanowiska w ramach swojego przedsiębiorstwa w formie listy o szerszym zakresie niż ta, o której mowa w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447.

46

Jednak wystarczy stwierdzić w tym względzie, że rozporządzenie delegowane 2016/341 nie może być interpretowane jako akt mający na celu względnie wywołujący skutek w postaci odstąpienia od stosowania art. 41 akapit pierwszy kodeksu celnego, zgodnie z którym Komisja przyjmuje, w drodze aktów wykonawczych, sposoby stosowania kryteriów, o których mowa w art. 39 tego kodeksu podlegające badaniu w celu stwierdzenia, czy wnioskodawcy można przyznać status AEO.

47

Rozporządzenie wykonawcze 2016/341 zatem nie powinno mieć wpływu na zakres art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447.

48

Ponadto okoliczność, że przepis ten czyni koniecznym spełnienie wymogów w nim określonych przez „osobę” odpowiedzialną za wnioskodawcę lub sprawującą kontrolę nad jego kierownictwem oraz „pracownika” odpowiedzialnego za sprawy celne w imieniu wnioskodawcy nie może prowadzić do uznania, że wymogi te dotyczą tylko jednej osoby odpowiedzialnej za wnioskodawcę lub sprawującej kontrolę nad jego kierownictwem i tylko jednego pracownika odpowiedzialnego za sprawy celne w ramach jej przedsiębiorstwa.

49

Nie można bowiem wykluczyć, że w ramach organizacji przedsiębiorstwa kilka osób fizycznych może być za nie współodpowiedzialnych lub wspólnie sprawować kontrolę nad jego kierownictwem oraz że kilka innych osób fizycznych może być odpowiedzialnych za sprawy celne w ramach jego przedsiębiorstwa, w szczególności w oparciu o kryterium terytorialne.

50

W związku z tym osoby fizyczne, o których mowa w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 to wszystkie te osoby w organizacji wnioskodawcy, które są odpowiedzialne w imieniu wnioskodawcy lub sprawują kontrolę nad jego kierownictwem oraz osoby odpowiedzialne za sprawy celne w ramach jego przedsiębiorstwa.

51

W drugiej kolejności, aby organy celne mogły odpowiedzieć na wniosek o nadanie statusu AEO, przepis ten wymaga, żeby miały one dostęp do danych potwierdzających, że żadna z osób fizycznych wskazanych przez wnioskodawcę nie popełniła poważnych lub powtarzających się naruszeń przepisów celnych lub podatkowych oraz że nie popełniła poważnego przestępstwa karnego związanego z jej działalnością gospodarczą.

52

W tym przypadku niemieckie organy celne zwracają się o przekazanie numerów identyfikacji podatkowej osób fizycznych wymienionych w pkt 50 niniejszego wyroku oraz danych kontaktowych urzędów skarbowych właściwych w odniesieniu do tych osób.

53

W takiej sytuacji ważne jest, aby w przypadku gdy praktyka tych organów wiąże się z przetwarzaniem danych osobowych w rozumieniu art. 2 lit. a) dyrektywy 95/46 lub art. 4 pkt 2 rozporządzenia 2016/679, przestrzegane były unijne przepisy dotyczące ochrony takich danych.

54

W tym względzie rozporządzenie to oznacza, że poszanowanie prawa do prywatności w odniesieniu do przetwarzania takich danych odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (zob. podobnie wyroki: z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, pkt 52; a także z dnia 17 października 2013 r., Schwarz, C‑291/12, EU:C:2013:670, pkt 26).

55

Z orzecznictwa Trybunału wynika również, że dane podatkowe stanowią „dane osobowe” w rozumieniu art. 2 lit. a) dyrektywy 95/46 (zob. podobnie wyroki: z dnia 1 października 2015 r., Bara i in., C‑201/14, EU:C:2015:638, pkt 29; a także z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 41).

56

Numer identyfikacji podatkowej ze względu na swój charakter stanowi dane podatkowe odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, a zatem dane osobowe. Ponadto ze względu na ustalony przez organy celne związek istniejący między numerem identyfikacji podatkowej dokładnie zidentyfikowanej osoby a informacjami dotyczącymi urzędu skarbowego właściwego w odniesieniu do tej osoby informacje te należy również uznać za dane osobowe.

57

Tymczasem każda operacja przetwarzania danych osobowych musi być zgodna z jednej strony z wyrażonymi w art. 6 dyrektywy 95/46 lub art. 5 rozporządzenia 2016/679 zasadami odnoszącymi się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych, wymienionych w art. 7 tej dyrektywy lub w art. 6 tego rozporządzenia (zob. podobnie wyroki: z dnia 20 maja 2003 r., Österreichischer Rundfunk i in., C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, pkt 65; a także z dnia 13 maja 2014 r., Google Spain i Google, C‑131/12, EU:C:2014:317, pkt 71).

58

Ściślej rzecz ujmując, dane osobowe muszą być gromadzone do określonych, jednoznacznych i zgodnych z prawem, jak również odpowiednich celów, zgodnie z art. 6 ust. 1 lit. b) i c) dyrektywy 95/46 lub art. 5 ust. 1 lit. b) i c) rozporządzenia 2016/679, i ograniczone do tego, co jest konieczne z punktu widzenia tych celów, a ich przetwarzanie jest zgodne z prawem na podstawie art. 7 lit. c) tej dyrektywy lub art. 6 ust. 1 lit. c) tego rozporządzenia, jeżeli konieczne jest wypełnienie obowiązku prawnego, któremu podlega administrator.

59

Ponadto należy przypomnieć, że wymóg rzetelnego przetwarzania danych osobowych przewidziany w art. 6 dyrektywy 95/46 lub w art. 5 rozporządzenia 2016/679 oznacza obowiązek organu celnego do informowania osób, których dane dotyczą, o ich przekazaniu innemu organowi administracji publicznej w celu ich dalszego przetworzenia (zob. podobnie wyrok z dnia 1 października 2015 r., Bara i in., C‑201/14, EU:C:2015:638, pkt 34).

60

Jeśli chodzi o sytuację rozpatrywaną w postępowaniu głównym, wydaje się, po pierwsze, że numery identyfikacji podatkowej osób fizycznych były początkowo zbierane przez ich pracodawcę w celu zapewnienia przestrzegania przepisów dotyczących podatku dochodowego, a w szczególności obowiązku nałożonego na niego polegającego na pobraniu w drodze potrącenia u źródła podatku obliczonego w odniesieniu do dochodu z pracy każdej z tych osób fizycznych.

61

Z drugiej strony późniejsze gromadzenie takich danych osobowych przez organy celne w celu wydania decyzji w sprawie wniosku o nadanie statusu AEO wydaje się konieczne do spełnienia obowiązku prawnego, któremu organy te podlegają na mocy art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 oraz warunków, jakie akt ten nakłada w celu przyznania takiego statusu. W tym zakresie rzeczone dane są zbierane, a zatem przetwarzane w celach jasno określonych, wyraźnych i zgodnych z prawem.

62

To samo dotyczy pobierania przez organy celne danych kontaktowych organów podatkowych właściwych do celów określenia podatku dochodowego dla tych osób fizycznych, ponieważ taki pobór ma również na celu umożliwienie tym organom udzielenia odpowiedzi na wniosek o status AEO.

63

Niemniej jednak w sytuacji takiej jak w postępowaniu głównym pobieranie przez organy celne numerów identyfikacji podatkowej osób fizycznych oraz danych kontaktowych urzędów skarbowych właściwych w odniesieniu do tych osób dla celów obliczenia podatku dochodowego powinno, jak wynika z pkt 58 niniejszego wyroku, być odpowiednie, stosowne i ograniczone do tego, co jest konieczne do celów, dla których te dane osobowe są gromadzone.

64

Jak zauważył rzecznik generalny w pkt 66 swojej opinii, fakt przyznania statusu AEO dla organów administracji celnej oznacza pewne przekazanie części funkcji kontroli przepisów celnych na rzecz AEO. Dlatego przed przyznaniem takiego statusu organy te powinny mieć możliwość skorzystania z informacji na temat wiarygodności wnioskodawcy ubiegającego się o taki status pod względem przestrzegania przepisów celnych oraz wiarygodności osób fizycznych wymienionych w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 pod względem przestrzegania przez nich przepisów prawa celnego i dotyczących ich przepisów podatkowych.

65

W związku z tym pobranie numerów identyfikacji podatkowej osób fizycznych wymienionych wyłącznie w niniejszym artykule oraz danych kontaktowych urzędów skarbowych właściwych dla nich jest właściwym i odpowiednim środkiem umożliwiającym organom celnym sprawdzenie, czy nie zostało popełnione przez jedną z tych osób jakiekolwiek z przestępstw, o których mowa w tym artykule.

66

Ponadto dane osobowe gromadzone w ten sposób przez te organy wydają się ograniczać do tego, co jest konieczne do osiągnięcia celu, o którym mowa w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447, ponieważ są to dane zastrzeżone, które same w sobie nie ujawniają organom celnym wrażliwych informacji na temat sytuacji osobistej, takich jak stan cywilny lub przynależność religijna, lub dochody osób fizycznych, których dotyczą.

67

Jeżeli – jak zauważa sąd odsyłający – zbieranie numerów identyfikacji podatkowej osób fizycznych wymienionych w tym artykule oraz danych kontaktowych właściwych dla nich ośrodków podatkowych może co do zasady umożliwić organom celnym dostęp do danych osobowych niezwiązanych z działalnością gospodarczą wnioskodawcy ubiegającego się o status AEO, należy stwierdzić, że naruszenia przepisów podatkowych wymienionych w tym artykule nie ograniczają się do przestępstw związanych z działalnością gospodarczą wnioskodawcy ubiegającego się o status AEO.

68

W tym względzie wydaje się uzasadnione, że przed przyznaniem wnioskodawcy takiego statusu, co – jak wynika z pkt 64 niniejszego wyroku – oznacza przekazanie mu funkcji właściwych dla organów celnych, organy te muszą sprawdzić nie tylko, czy wnioskodawca przestrzega przepisów prawa celnego, ale również czy – z uwagi na poziom odpowiedzialności w ramach struktury organizacyjnej wnioskodawcy – osoby fizyczne, o których mowa w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447, same nie dopuściły się żadnych poważnych lub powtarzających się naruszeń tych przepisów lub przepisów podatkowych, niezależnie od tego, czy takie naruszenia miały miejsce w odniesieniu do działalności gospodarczej wnioskodawcy.

69

W związku z tym zbieranie przez organy celne numerów identyfikacji podatkowej osób fizycznych wymienionych w sposób zawężający w art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 oraz danych kontaktowych urzędów skarbowych właściwych dla takich osób jest dozwolone jedynie w zakresie, w jakim dane te umożliwiają tym organom uzyskanie informacji dotyczących poważnych lub powtarzających się naruszeń przepisów celnych lub przepisów podatkowych albo popełnionych przez te osoby fizyczne poważnych przestępstw karnych związanych z ich działalnością gospodarczą.

70

W świetle powyższych rozważań na zadane pytanie należy udzielić odpowiedzi, iż art. 24 ust. 1 akapit drugi rozporządzenia wykonawczego 2015/2447 w związku z dyrektywą 95/46 i rozporządzeniem 2016/679 trzeba interpretować w ten sposób, że organy celne mogą wymagać od wnioskodawcy ubiegającego się o status AEO dostarczenia numerów identyfikacji podatkowej nadanych dla celów poboru podatku dochodowego, dotyczące wyłącznie tych osób fizycznych, które są uprawnione do działania w imieniu wnioskodawcy lub sprawują kontrolę nad jego kierownictwem, oraz osób odpowiedzialnych za sprawy celne wnioskodawcy, jak również dane kontaktowe urzędów skarbowych właściwych dla wszystkich tych osób w zakresie, w jakim dane te umożliwiają tym organom uzyskanie informacji dotyczących poważnych lub powtarzających się naruszeń przepisów celnych lub przepisów podatkowych albo popełnionych przez te osoby fizyczne poważnych przestępstw karnych związanych z ich działalnością gospodarczą.

71

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.

Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:

Artykuł 24 ust. 1 akapit drugi rozporządzenia wykonawczego Komisji (UE) 2015/2447 z dnia 24 listopada 2015 r. ustanawiającego szczegółowe zasady wykonania niektórych przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 952/2013 ustanawiającego unijny kodeks celny w związku z dyrektywą 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych oraz z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnym rozporządzeniem o ochronie danych) należy interpretować w ten sposób, że organy celne mogą wymagać od wnioskodawcy ubiegającego się o status upoważnionego przedsiębiorcy dostarczenia numerów identyfikacji podatkowej nadanych dla celów poboru podatku dochodowego, dotyczące wyłącznie tych osób fizycznych, które są uprawnione do działania w imieniu wnioskodawcy lub sprawują kontrolę nad jego kierownictwem oraz osób odpowiedzialnych za sprawy celne wnioskodawcy, jak również dane kontaktowe urzędów skarbowych właściwych dla wszystkich tych osób, w zakresie, w jakim dane te umożliwiają tym organom uzyskanie informacji dotyczących poważnych lub powtarzających się naruszeń przepisów celnych lub przepisów podatkowych albo popełnionych przez te osoby fizyczne poważnych przestępstw karnych związanych z ich działalnością gospodarczą.