–

pentru Deutsche Post AG, de U. Möllenhoff, Rechtsanwalt;

–

pentru Hauptzollamt Köln, de W. Liebe, de M. Greve‑Giesow și de M. Hageroth, în calitate de agenți;

–

pentru guvernul spaniol, de S. Jiménez García și de V. Ester Casas, în calitate de agenți;

–

pentru guvernul italian, de G. Palmieri, în calitate de agentă, asistată de G. Albenzio, avvocato dello Stato;

–

pentru guvernul maghiar, de M. Z. Fehér, de G. Koós și de R. Kissné Berta, în calitate de agenți;

–

pentru Comisia Europeană, de B.‑R. Killmann și de F. Clotuche‑Duvieusart, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare (UE) 2015/2447 al Comisiei din 24 noiembrie 2015 de stabilire a unor norme pentru punerea în aplicare a anumitor dispoziții din Regulamentul (UE) nr. 952/2013 al Parlamentului European și al Consiliului de stabilire a Codului vamal al Uniunii (JO 2015, L 343, p. 558).

2

Această cerere a fost formulată în cadrul unui litigiu între Deutsche Post AG, pe de o parte, și Hauptzollamt Köln (Biroul Vamal Principal din Köln, Germania) (denumit în continuare „biroul principal”), pe de altă parte, în legătură cu natura și cu întinderea datelor cu caracter personal ale unor terți care trebuie prezentate pentru ca o întreprindere să beneficieze de statutul de operator economic autorizat, prevăzut la articolul 39 din Regulamentul (UE) nr. 952/2013 al Parlamentului European și al Consiliului din 9 octombrie 2013 de stabilire a Codului vamal al Uniunii (JO 2013, L 269, p. 1, denumit în continuare „Codul vamal”).

3

Titlul I din Codul vamal cuprinde capitolul 2, intitulat „Drepturile și obligațiile persoanelor în ceea ce privește legislația vamală”, care conține secțiunea 4, intitulată „Operatorul economic autorizat” (în continuare „AEO”), din care fac parte articolele 38-41.

4

Articolul 38 din acest cod prevede:

„(1)   Orice operator economic stabilit pe teritoriul vamal al Uniunii și care îndeplinește criteriile enunțate la articolul 39 poate să depună o cerere pentru a obține statutul de [AEO].

Acest statut este acordat de către autoritățile vamale, după o consultare cu alte autorități competente, dacă este necesar, și face obiectul monitorizării.

(2)   Statutul de [AEO] cuprinde următoarele tipuri de autorizări:

[…]

(5)   Autoritățile vamale, pe baza recunoașterii statutului de [AEO] pentru simplificările vamale și cu condiția ca cerințele privind un anumit tip de simplificare prevăzută în legislația vamală să fie îndeplinite, autorizează operatorul să beneficieze de această simplificare. Autoritățile vamale nu reexaminează criteriile care au fost deja examinate cu ocazia acordării statutului de [AEO].

(6)   [AEO] menționat la alineatul (2) beneficiază de un tratament favorabil față de alți operatori economici în ceea ce privește controalele vamale în funcție de tipul de autorizație acordată, inclusiv de reducerea numărului controalelor fizice și documentare.

[…]”

5

Articolul 39 din codul menționat prevede:

„Criteriile pentru acordarea statutului de [AEO] sunt următoarele:

[…]”

6

Potrivit articolului 41 primul paragraf din același cod:

„Comisia adoptă, prin intermediul actelor de punere în aplicare, modalitățile pentru aplicarea criteriilor menționate la articolul 39.”

7

Titlul I din Regulamentul de punere în aplicare 2015/2447 cuprinde capitolul 2, intitulat „Drepturile și obligațiile persoanelor în ceea ce privește legislația vamală”, care conține secțiunea 3, intitulată „Operator economic autorizat”, din care fac parte articolele 24-35.

8

Potrivit articolului 24 alineatul (1) al doilea paragraf din acest regulament:

„Dacă solicitantul nu este o persoană fizică, criteriul stabilit la articolul 39 litera (a) din [C]od[ul vamal] este considerat îndeplinit dacă, în ultimii trei ani, niciuna dintre următoarele persoane nu a comis nicio încălcare gravă sau încălcări repetate ale legislației vamale și ale dispozițiilor fiscale și nu a avut cazier conținând infracțiuni grave legate de activitatea sa economică:

9

Considerentul (9) al Regulamentului delegat (UE) 2016/341 al Comisiei din 17 decembrie 2015 de completare a Regulamentului (UE) nr. 952/2013 în ceea ce privește normele tranzitorii pentru anumite dispoziții din Codul vamal al Uniunii, în cazul în care sistemele electronice relevante nu sunt încă operaționale, și de modificare a Regulamentului delegat (UE) 2015/2446 al Comisiei (JO 2016, L 69, p. 1) arată:

„Întrucât sistemul electronic necesar pentru aplicarea dispozițiilor [C]odului [vamal] care reglementează atât cererea de emitere a autorizației, cât și autorizația care acordă statutul de [AEO] nu a fost încă modernizat, mijloacele folosite în prezent, pe suport de hârtie și în format electronic, trebuie să fie utilizate în continuare până la modernizarea sistemului.”

10

Articolul 1 din acest regulament prevede:

„(1)   Prezentul regulament stabilește măsuri tranzitorii privind mijloacele pentru schimbul și stocarea de date prevăzute la articolul 278 din [C]od[ul vamal], până când sistemele electronice care sunt necesare pentru punerea în aplicare a dispozițiilor [acestui] cod[…] devin operaționale.

(2)   Cerințele în materie de date, formatele și codurile care urmează să fie aplicate în perioadele tranzitorii stabilite în prezentul regulament, în Regulamentul delegat (UE) 2015/2446 [al Comisiei din 28 iulie 2015 de completare a Regulamentului nr. 952/2013 în ceea ce privește normele detaliate ale anumitor dispoziții ale Codului vamal […] (JO 2015, L 343, p. 1)] și în Regulamentul de punere în aplicare […] 2015/2447 sunt stabilite în anexele la prezentul regulament.”

11

Regulamentul delegat 2016/341 cuprinde capitolul 1, intitulat „Dispoziții generale”, care conține secțiunea 3, intitulată „Cererea de acordare a statutului de AEO”, în cadrul căreia articolul 5 din acest regulament prevede:

„(1)   Până la data de modernizare a sistemului AEO menționat în anexa la Decizia de punere în aplicare 2014/255/UE [a Comisiei din 29 aprilie 2014 de stabilire a programului de lucru pentru Codul vamal […] (JO 2014, L 134, p. 46)], autoritățile vamale pot permite utilizarea altor mijloace decât tehnicile de prelucrare electronică a datelor în ceea ce privește cererile și deciziile privind AEO sau orice eveniment ulterior care ar putea afecta cererea sau decizia inițială.

(2)   În cazurile prevăzute la alineatul (1) din prezentul articol, se aplică următoarele dispoziții:

[…]”

12

Anexa 6 la regulamentul menționat cuprinde o parte intitulată „Note explicative”. Punctul 19 din aceste note, referitor la numele, data și semnătura solicitantului, arată printre altele următoarele:

„[…]

Numărul de anexe: solicitantul furnizează următoarele informații generale

[…]

[…]”

13

Articolul 2 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31) prevedea:

„În sensul prezentei directive:

[…]”

14

Articolul 6 din această directivă avea următorul cuprins:

„(1)   Statele membre stabilesc că datele cu caracter personal trebuie să fie:

[…]

(2)   Operatorul are obligația să asigure respectarea alineatului (1).”

15

Potrivit articolului 7 din directiva menționată:

„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:

[…]

[…]”

16

Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1) a intrat în vigoare la 24 mai 2016. El abrogă Directiva 95/46 cu efect de la 25 mai 2018.

17

Articolul 4 din acest regulament furnizează printre altele definițiile următoare:

„În sensul prezentului regulament:

[…]”

18

Articolul 5 din regulamentul menționat, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1)   Datele cu caracter personal sunt:

[…]

(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

19

Articolul 6 din același regulament, intitulat „Legalitatea prelucrării”, prevede:

„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

[…]

(3)   Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

Scopul prelucrării este stabilit pe baza respectivului temei juridic […]. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.

[…]”

20

Articolul 139a alineatul (1) din Abgabenordnung (Codul fiscal german, denumit în continuare „AO”), în versiunea aplicabilă litigiului principal, prevede:

„În scopul identificării univoce în cadrul procedurii de impozitare, Oficiul Federal Central pentru Impozite atribuie fiecărei persoane impozabile un cod unic și permanent (cod de identificare), care va trebui comunicat de persoana impozabilă sau de un terț care trebuie să transmită datele persoanei impozabile respective către autoritățile fiscale în cazul oricăror cereri, declarații sau comunicări adresate acestora. Codul de identificare constă într‑o serie de cifre care nu poate fi formată sau dedusă din datele persoanei impozabile, și a cărui ultimă poziție este o cifră de control […]”

21

Articolul 139b din AO, intitulat „Număr de identificare”, prevede:

„(1)   O persoană fizică nu poate primi decât un singur număr de identificare […].

(2)   Autoritățile fiscale pot colecta și utiliza numărul de identificare numai cu condiția ca acest fapt să fie necesar pentru ca acestea să își îndeplinească atribuțiile prevăzute de lege sau dacă o dispoziție legală permite sau prevede în mod explicit acest lucru. Alte organisme publice sau nepublice pot:

[…]

[…]”

22

Articolul 38 alineatele (1) și (3) din Einkommensteuergesetz (Legea privind impozitul pe venit, denumită în continuare „EStG”), în versiunea aplicabilă litigiului principal, are următorul cuprins:

„(1)   În ceea ce privește veniturile din activități salariale, în măsura în care salariul este plătit de un angajator […], impozitul pe venit se colectează prin reținere din salariu (impozit pe salariu).

[…]

(3)   Angajatorul reține impozitul respectiv din salariul lucrătorului la fiecare plată a salariilor.”

23

Potrivit articolului 39 alineatul (1) din EStG, intitulat „Date individuale destinate calculului reținerii la sursă a impozitului pe salariu”:

„Pentru aplicarea reținerii la sursă a impozitului pe salariu, se vor stabili, la inițiativa lucrătorului, indicatori pentru reținerea din salariu […]”

24

Potrivit articolului 39e din EStG, intitulat „Procedură privind stabilirea și aplicarea datelor individuale electronice, destinate calculării reținerii la sursă a impozitului pe salarii”:

„(1)   Oficiul Federal Central pentru Impozite stabilește în principiu în mod automat, drept date individuale pentru reținerea la sursă a impozitului pe salariu (articolul 39 alineatul 4 prima teză punctele 1 și 2), clasa de impunere aferentă fiecărui lucrător și, în cazul claselor de impunere I‑IV, numărul creditelor fiscale acordate pentru numărul de copii […].Atunci când autoritatea fiscală determină datele individuale pentru reținerea la sursă a impozitului pe salariu în conformitate cu articolul 39, aceasta le comunică Oficiului Federal Central pentru Impozite în vederea punerii lor la dispoziția angajatorului în mod automat […].

(2)   Oficiul Federal Central pentru Impozite stochează datele individuale pentru reținerea la sursă a impozitului pe salariu în scopul punerii acestora la dispoziția angajatorului în mod automat, indicând numărul de identificare, precum și, pentru fiecare persoană impozabilă, următoarele date suplimentare în raport cu cele menționate la articolul 139b alineatul 3 din [AO]:

[…]

(4)   La data începerii raportului de muncă, în scopul verificării datelor individuale pentru reținerea la sursă a impozitului pe salariu, lucrătorul trebuie să comunice fiecăruia dintre angajatorii săi:

[…]

La data începerii raportului de muncă, angajatorul trebuie să acceseze datele electronice de reținere din salariu aferente lucrătorului respectiv la Oficiul Federal Central pentru Impozite, prin intermediul transmiterii datelor la distanță, și să le preia în contul de salariu al lucrătorului.”

25

Deutsche Post beneficia de statutul de destinatar autorizat, de cel de expeditor autorizat și de o autorizație de utilizare a unei garanții globale, constitutive de simplificări în cadrul regimului vamal al Uniunii.

26

Întrucât Codul vamal a modificat condițiile individuale de acordare a autorizațiilor în materie vamală, biroul principal, prin scrisoarea din 19 aprilie 2017, a solicitat Deutsche Post să răspundă la un chestionar de autoevaluare, în care trebuia să identifice în mod precis membrii comitetelor consultative și ai consiliilor de supraveghere, principalii conducători (directori generali, șefi de departament, administratori de servicii de contabilitate, responsabili cu problemele vamale etc.) și persoanele responsabile de gestionarea chestiunile vamale sau pe cele însărcinate cu soluționarea lor, transmițând printre altele numerele de identificare fiscală pentru fiecare dintre aceste persoane fizice și coordonatele centrelor fiscale competente în privința lor.

27

Biroul principal a precizat pentru Deutsche Post că, în lipsa unei colaborări utile, nu va fi posibil să se determine dacă erau îndeplinite condițiile de autorizare prevăzute în Codul vamal și că, în cazul în care aceste condiții nu mai erau îndeplinite, va revoca autorizațiile de care beneficia Deutsche Post.

28

Prin acțiunea introdusă la instanța de trimitere, Finanzgericht Düsseldorf (Tribunalul Fiscal din Düsseldorf, Germania), Deutsche Post contestă obligația de a transmite biroului principal numerele de identificare fiscală ale persoanelor vizate și coordonatele centrelor fiscale competente în privința lor.

29

Aceasta arată că cercul persoanelor din întreprinderea sa vizate de întrebările adresate de biroul principal este foarte important, că o parte dintre aceste persoane nu erau dispuse să fie de acord cu transmiterea datelor cu caracter personal care le priveau și că acest cerc este mult mai larg decât cel al persoanelor menționate la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447. Ea estimează că situația salariaților săi în raport cu impozitul pe venit nu permite să se aprecieze dacă au fost săvârșite încălcări grave sau repetate ale legislației vamale sau fiscale ori infracțiuni grave în cadrul activității sale economice. În opinia sa, colectarea numerelor de identificare fiscală nu este nici necesară, nici adecvată pentru a se determina fiabilitatea sa în raport cu dreptul vamal, întrucât verificarea situației fiscale personale a ansamblului persoanelor vizate este disproporționată în raport cu acest obiectiv.

30

Biroul principal solicită respingerea acestei acțiuni. El susține în principal că transmiterea numerelor de identificare fiscală este necesară pentru a permite o identificare clară a persoanelor vizate în cadrul unei cereri de informații prezentată de acesta centrului fiscal competent, că un schimb de informații nu este prevăzut, caz cu caz, decât dacă centrul menționat dispune de elemente privind încălcări grave și repetate ale legislației fiscale, întrucât nu sunt luate în considerare procedurile privind sancțiuni pecuniare administrative sau urmăririle penale clasate fără a fi urmate de măsuri, și că încălcările repetate ale acestei legislații nu sunt luate în considerare decât în cazul reiterării disproporționate în raport cu natura și cu importanța activității comerciale a solicitantului de autorizație. Acesta consideră că cercul persoanelor vizate de întrebările adresate este conform cu reglementarea vamală a Uniunii.

31

Potrivit instanței de trimitere, soluționarea litigiului principal depinde de interpretarea articolului 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447, interpretat în lumina articolului 8 din Carta drepturilor fundamentale a Uniunii Europene și a Regulamentului 2016/679, întrucât numerele de identificare fiscală ale persoanelor vizate și coordonatele centrelor fiscale competente în privința lor constituie date cu caracter personal.

32

Pe de o parte, ea ridică problema dacă transmiterea unor astfel de date constituie o prelucrare legală în raport cu Regulamentul de punere în aplicare 2015/2447. Pe de altă parte, are îndoieli privind necesitatea de a se recurge la datele cu caracter personal ale salariaților și ale membrilor consiliului de supraveghere al Deutsche Post, care au fost colectate în scopul prelevării impozitului pe venit, prin intermediul reținerii la sursă din salarii.

33

Instanța de trimitere consideră că datele cu caracter personal ale acestor salariați nu sunt legate direct de aprecierea fiabilității Deutsche Post în raport cu dispozițiile de drept vamal și nu au niciun raport cu activitatea sa economică.

34

Ea se întreabă dacă, având în vedere articolul 8 alineatul (1) din Carta drepturilor fundamentale și principiul proporționalității, administrația vamală poate solicita date cu caracter personal, precum numerele de identificare fiscală ale persoanelor vizate și coordonatele centrelor fiscale competente pentru stabilirea impozitului pe venit al acestor persoane. Aceasta arată că membrii consiliului de supraveghere nu sunt menționați în anexa 6 la Regulamentul delegat 2016/341 și că, la fel ca șefii de departament și administratorii serviciilor de contabilitate, ei nu sunt însărcinați cu soluționarea unor chestiuni privind reglementarea vamală.

35

În aceste condiții Finanzgericht Düsseldorf (Tribunalul Fiscal din Düsseldorf) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:

„Articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare [2015/2447] trebuie interpretat în sensul că permite autorităților vamale să impună solicitantului să le comunice, în ceea ce privește membrii consiliului său de supraveghere și salariații săi care exercită funcțiile de directori generali, șefi de departament, administrator al serviciilor de contabilitate, responsabil al problemelor vamale, precum și persoanele responsabile de gestionarea chestiunilor vamale și cele însărcinate cu soluționarea lor, numerele de identificare fiscală atribuite de Oficiul Federal Central pentru Impozite în scopul prelevării impozitului pe venit, precum și centrele fiscale competente pentru stabilirea impozitului pe venit?”

36

Pentru a aduce elemente de răspuns la întrebarea adresată, părțile interesate, cu excepția Comisiei, se întemeiază pe Regulamentul 2016/679, la care se referă și instanța de trimitere.

37

Comisia arată în această privință că, întrucât faptele din cauza principală s‑au desfășurat în luna aprilie a anului 2017, Directiva 95/46 este aplicabilă pentru soluționarea litigiului principal.

38

În aceste condiții, având în vedere natura declaratorie a acțiunii din fața instanței naționale (Feststellungsklage), nu este exclus ca acest regulament să fie aplicabil ratione temporis pentru soluționarea litigiului principal, întrucât ședința de audiere a pledoariilor nu a permis clarificarea acestui punct.

39

Prin urmare, este necesar să se răspundă la întrebarea adresată atât în raport cu Directiva 95/46, cât și cu Regulamentul 2016/679.

40

Prin intermediul întrebării formulate, instanța de trimitere solicită în esență să se stabilească dacă articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447, analizat în lumina Directivei 95/46 și a Regulamentului 2016/679, trebuie interpretat în sensul că autoritățile vamale pot impune solicitantului statutului de AEO să le comunice numerele de identificare fiscală, atribuite în scopul prelevării impozitului pe venit, în ceea ce privește membrii consiliului său de supraveghere și salariații săi care exercită funcțiile de directori generali, șefi de departament, administratori ai serviciilor de contabilitate, responsabili ai problemelor vamale, inclusiv persoanele responsabile de gestionarea chestiunilor vamale și cele însărcinate cu soluționarea lor, precum și coordonatele centrelor fiscale competente în privința tuturor acestor persoane.

41

În primul rând, trebuie să se sublinieze că articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 prevede că, dacă solicitantul statutului de AEO nu este o persoană fizică, criteriul stabilit la articolul 39 litera (a) din Codul vamal este considerat îndeplinit dacă, în ultimii trei ani, niciuna dintre persoanele pe care le desemnează nu a comis nicio încălcare gravă sau încălcări repetate ale legislației vamale și ale dispozițiilor fiscale și nu a avut cazier conținând infracțiuni grave legate de activitatea sa economică.

42

Este vorba numai despre solicitant, despre persoana împuternicită să îl reprezinte pe solicitant sau care exercită controlul asupra gestiunii acestuia și despre angajatul responsabil cu chestiunile vamale ale solicitantului. La lectura acestei dispoziții, această listă apare ca fiind exhaustivă.

43

Prin urmare, nu poate fi admis că articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 poate fi interpretat în sensul că vizează alte persoane fizice decât cele împuternicite de solicitant, care controlează gestiunea sa sau care sunt responsabile cu chestiunile vamale în cadrul său. Astfel, nu sunt vizați de această dispoziție membrii comitetelor consultative și ai consiliilor de supraveghere ale unei persoane juridice, șefii de departament, cu excepția celor care ar fi responsabili cu chestiunile vamale în cadrul solicitantului, administratorii serviciilor de contabilitate și persoanele însărcinate cu soluționarea problemelor vamale.

44

În ceea ce îi privește pe directorii generali, lor li se poate impune respectarea cerințelor enunțate în dispoziția menționată dacă, într‑o situație precum cea din litigiul principal, trebuiau să fie considerați împuterniciți ai solicitantului sau persoane care controlează gestiunea sa.

45

Cu certitudine, Regulamentul delegat 2016/341 prevede, la punctul 19 din notele explicative care figurează în anexa 6, că solicitantul statutului de AEO furnizează, anexate la formularul de cerere a acestui statut pe care îl redactează, numele și pozițiile în cadrul său ale unei liste mai largi de persoane fizice decât cea care figurează la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447.

46

Totuși, este suficient să se constate în această privință că Regulamentul delegat 2016/341 nu poate fi interpretat ca având ca obiect sau ca efect derogarea de la articolul 41 primul paragraf din Codul vamal, potrivit căruia Comisia adoptă, prin intermediul actelor de punere în aplicare, modalitățile pentru aplicarea criteriilor menționate la articolul 39 din acest cod, care trebuie să fie examinate pentru a se determina dacă unui solicitant i se poate acorda statutul de AEO.

47

În consecință, Regulamentul delegat 2016/341 nu poate avea incidență asupra domeniului de aplicare al articolului 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447.

48

În plus, împrejurarea că această dispoziție supune respectării cerințelor pe care le prevede „persoana” împuternicită să îl reprezinte pe solicitant sau care exercită controlul asupra gestiunii acestuia și „angajatul” responsabil cu chestiunile vamale ale acestuia nu poate conduce la aprecierea că aceste cerințe nu privesc decât o singură persoană împuternicită să îl reprezinte pe solicitant sau care exercită controlul asupra gestiunii acestuia și un singur angajat responsabil cu chestiunile vamale în cadrul său.

49

Astfel, nu poate fi exclus ca, în cadrul organizării unei întreprinderi, mai multe persoane fizice să fie coresponsabili de aceasta sau să exercite împreună controlul asupra gestiunii sale și ca mai multe alte persoane fizice să fie responsabile cu chestiunile vamale în cadrul său, în special pe o bază teritorială.

50

În consecință, persoanele fizice vizate la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 sunt toate cele care, în organizarea solicitantului, sunt împuternicite să îl reprezinte pe acesta sau exercită controlul asupra gestiunii sale, precum și cele responsabile cu chestiunile vamale în cadrul său.

51

În al doilea rând, pentru ca autoritățile vamale să poată răspunde la o cerere de statut de AEO, această dispoziție implică să le fie permis accesul la datele care permit să se stabilească faptul că niciuna dintre persoanele fizice pe care le desemnează nu a săvârșit încălcări grave sau repetate ale legislației vamale sau ale legislației fiscale și că nu a fost vinovată de o infracțiune gravă legată de activitatea sa economică.

52

În speță, autoritățile vamale germane solicită comunicarea numerelor de identificare fiscală ale persoanelor enunțate la punctul 50 din prezenta hotărâre și a coordonatelor centrelor fiscale competente în privința acestor persoane.

53

Într‑o asemenea situație, trebuie ca, dacă practica acestor autorități implică o prelucrare de date cu caracter personal, în sensul articolului 2 litera (a) din Directiva 95/46 sau al articolului 4 punctul 2 din Regulamentul 2016/679, reglementarea Uniunii privind protecția acestor date să fie respectată.

54

În această privință, reglementarea menționată implică faptul că respectarea dreptului la viață privată în ceea ce privește prelucrarea unor astfel de date se raportează la orice informație care vizează o persoană fizică identificată sau identificabilă (a se vedea în acest sens Hotărârea din 9 noiembrie 2010, Volker und Markus Schecke și Eifert, C‑92/09 și C‑93/09, EU:C:2010:662, punctul 52, precum și Hotărârea din 17 octombrie 2013, Schwarz, C‑291/12, EU:C:2013:670, punctul 26).

55

Reiese de asemenea din jurisprudența Curții că datele fiscale constituie „date cu caracter personal”, în sensul articolului 2 litera (a) din Directiva 95/46 (a se vedea în acest sens Hotărârea din 1 octombrie 2015, Bara și alții, C‑201/14, EU:C:2015:638, punctul 29, precum și Hotărârea din 27 septembrie 2017, Puškár, C‑73/16, EU:C:2017:725, punctul 41).

56

Un număr de identificare fiscală constituie, prin însăși natura sa, o dată fiscală care se raportează la o persoană fizică identificată sau identificabilă și, prin urmare, o dată cu caracter personal. În plus, datorită legăturii stabilite între numărul de identificare fiscală al unei persoane precis identificate și informația privind centrul fiscal competent în privința unei astfel de persoane, efectuată de autoritățile vamale, această informație trebuie considerată de asemenea dată cu caracter personal.

57

Or, orice prelucrare de date cu caracter personal trebuie, pe de o parte, să fie conformă cu principiile referitoare la calitatea datelor enunțate la articolul 6 din Directiva 95/46 sau la articolul 5 din Regulamentul 2016/679 și, pe de altă parte, să răspundă unuia dintre principiile referitoare la legitimarea prelucrărilor de date enumerate la articolul 7 din această directivă sau la articolul 6 din acest regulament (a se vedea în acest sens Hotărârea din 20 mai 2003, Österreichischer Rundfunk și alții, C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294, punctul 65, precum și Hotărârea din 13 mai 2014, Google Spain și Google, C‑131/12, EU:C:2014:317, punctul 71).

58

Mai exact, datele cu caracter personal trebuie să fie, în temeiul articolului 6 alineatul (1) literele (b) și (c) din Directiva 95/46 sau al articolului 5 alineatul (1) literele (b) și (c) din Regulamentul 2016/679, colectate în scopuri determinate, explicite și legitime, precum și adecvate, pertinente și limitate la ceea ce este necesar în raport cu finalitățile respective, prelucrarea lor fiind legală, potrivit articolului 7 litera (c) din această directivă sau articolului 6 alineatul (1) litera (c) din acest regulament, dacă este necesară pentru respectarea unei obligații legale care revine operatorului.

59

În plus, trebuie amintit că cerința prelucrării corecte a datelor cu caracter personal, prevăzută la articolul 6 din Directiva 95/46 sau la articolul 5 din Regulamentul 2016/679, implică o obligație de a informa persoanele vizate despre colectarea acestor date de către autoritățile vamale în vederea prelucrării lor ulterioare (a se vedea în acest sens Hotărârea din 1 octombrie 2015, Bara și alții, C‑201/14, EU:C:2015:638, punctul 34).

60

În ceea ce privește situația în discuție în litigiul principal, rezultă, pe de o parte, că numerele de identificare fiscală ale persoanelor fizice au fost colectate inițial de angajatorul acestor persoane pentru a asigura respectarea reglementării privind impozitul pe venit și, mai precis, a obligației acestuia de a preleva, prin reținere la sursă, impozitul calculat în raport cu veniturile din munca salariată a fiecăreia dintre aceste persoane fizice.

61

Pe de altă parte, colectarea ulterioară a acestor date cu caracter personal de către autoritățile vamale pentru a decide asupra unei cereri de statut de AEO apare ca fiind necesară pentru respectarea unei obligații legale căreia îi sunt supuse aceste autorități în temeiul articolului 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 și a condițiilor pe care acesta le impune pentru acordarea respectivului statut. În această măsură, datele menționate sunt colectate și, așadar, prelucrate în scopuri determinate, explicite și legitime.

62

Situația este aceeași în ceea ce privește colectarea de către autoritățile vamale a coordonatelor centrelor fiscale competente pentru stabilirea impozitului pe venit al persoanelor fizice menționate, din moment ce o astfel de colectare are și scopul de a permite acestor autorități să răspundă la o cerere de statut de AEO.

63

Totuși, trebuie ca, într‑o situație precum cea din litigiul principal, datele colectate de către autoritățile vamale, și anume numerele de identificare fiscală ale persoanelor fizice și coordonatele centrelor fiscale competente în raport cu acestea pentru stabilirea impozitului pe venit, să fie, după cum reiese din cuprinsul punctului 58 din prezenta hotărâre, adecvate, pertinente și limitate la ceea ce este necesar în raport cu finalitățile pentru care sunt colectate aceste date cu caracter personal.

64

După cum a arătat avocatul general la punctul 66 din concluzii, acordarea de către autoritățile vamale a statutului de AEO unui operator echivalează în fapt cu delegarea către acesta a unei părți din funcțiile de control al reglementării vamale. În consecință, este important ca, înainte de acordarea acestui statut, aceste autorități să poată beneficia de informații privind fiabilitatea solicitantului statutului menționat în materia respectării reglementării vamale și cea a persoanelor fizice menționate la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 în ceea ce privește respectarea legislației vamale și a dispozițiilor fiscale care le privesc.

65

În consecință, colectarea numerelor de identificare fiscală doar ale persoanelor fizice menționate în acest articol, precum și a coordonatelor centrelor fiscale competente în privința lor constituie o măsură adecvată și pertinentă pentru a permite autorităților vamale să verifice dacă nu a fost săvârșită de una dintre ele o încălcare dintre cele prevăzute la articolul menționat.

66

În plus, datele cu caracter personal astfel colectate de aceste autorități apar ca fiind limitate la ceea ce este necesar pentru atingerea finalității prevăzute la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447, în măsura în care este vorba despre date restrânse care, prin ele însele, nu revelează autorităților vamale informații sensibile privind situația personală, cum ar fi situația matrimonială sau apartenența religioasă ori veniturile persoanelor fizice pe care le privesc.

67

Deși, după cum arată instanța de trimitere, colectarea numerelor de identificare fiscală ale persoanelor fizice enumerate în acest articol și a coordonatelor centrelor fiscale competente în privința lor poate, în principiu, să permită autorităților vamale accesul la date cu caracter personal care nu au niciun raport cu activitatea economică a solicitantului statutului de AEO, trebuie constatat că încălcările dispozițiilor fiscale menționate la acest articol nu se limitează la cele care sunt legate de activitatea economică a solicitantului statutului de AEO.

68

În această privință, apare ca fiind justificat că, înainte de acordarea unui astfel de statut unui solicitant, ceea ce, astfel cum reiese din cuprinsul punctului 64 din prezenta hotărâre, revine la a delega acestuia exercitarea de funcții proprii autorităților vamale, este necesar ca aceste autorități să verifice nu numai dacă acesta respectă legislația vamală, ci și dacă, având în vedere nivelul lor de responsabilitate în cadrul structurii organizaționale a acestui solicitant, persoanele fizice menționate la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 nu au săvârșit, ele însele, o încălcare gravă sau încălcări repetate ale acestei legislații sau ale dispozițiilor fiscale, indiferent dacă aceste încălcări au avut sau nu au avut loc în legătură cu activitatea economică a solicitantului respectiv.

69

În consecință, colectarea de către autoritățile vamale a numerelor de identificare fiscală ale persoanelor fizice enumerate limitativ la articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447 și a coordonatelor centrelor fiscale competente în privința acestor persoane nu este permisă decât în măsura în care aceste date permit autorităților respective să obțină informații referitoare la încălcări grave sau repetate ale legislației vamale sau la infracțiuni grave legate de activitatea lor economică, săvârșite de aceste persoane fizice.

70

Având în vedere considerațiile care precedă, trebuie să se răspundă la întrebarea adresată că articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare 2015/2447, analizat în lumina Directivei 95/46 și a Regulamentului 2016/679, trebuie interpretat în sensul că autoritățile vamale pot impune solicitantului statutului de AEO să comunice numerele de identificare fiscală, atribuite în scopul prelevării impozitului pe venit, care privesc numai persoanele fizice care sunt împuternicite să îl reprezinte pe solicitant sau care exercită controlul asupra gestiunii acestuia și pe cele responsabile cu chestiunile vamale în cadrul său, precum și coordonatele centrelor fiscale competente în privința ansamblului acestor persoane, în măsura în care aceste date permit autorităților respective să obțină informații referitoare la încălcări grave sau repetate ale legislației vamale sau ale dispozițiilor fiscale ori la infracțiuni grave legate de activitatea lor economică, săvârșite de aceste persoane fizice.

71

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a treia) declară:

Articolul 24 alineatul (1) al doilea paragraf din Regulamentul de punere în aplicare (UE) 2015/2447 al Comisiei din 24 noiembrie 2015 de stabilire a unor norme pentru punerea în aplicare a anumitor dispoziții din Regulamentul (UE) nr. 952/2013 al Parlamentului European și al Consiliului de stabilire a Codului vamal al Uniunii, analizat în lumina Directivei 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date și a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), trebuie interpretat în sensul că autoritățile vamale pot impune solicitantului statutului de operator economic autorizat să comunice numerele de identificare fiscală, atribuite în scopul prelevării impozitului pe venit, care privesc numai persoanele fizice care sunt împuternicite să îl reprezinte pe solicitant sau care exercită controlul asupra gestiunii acestuia și pe cele responsabile cu chestiunile vamale în cadrul său, precum și coordonatele centrelor fiscale competente în privința ansamblului acestor persoane, în măsura în care aceste date permit autorităților respective să obțină informații referitoare la încălcări grave sau repetate ale legislației vamale sau ale dispozițiilor fiscale ori la infracțiuni grave legate de activitatea lor economică, săvârșite de aceste persoane fizice.