–

za Deutsche Post AG, U. Möllenhoff, Rechtsanwalt,

–

za Hauptzollamt Köln, W. Liebe, M. Greve‑Giesow i M. Hageroth, u svojstvu agenata,

–

za španjolsku vladu, S. Jiménez García i V. Ester Casas, u svojstvu agenata,

–

za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju G. Albenzija, avvocato dello Stato,

–

za mađarsku vladu, M. Z. Fehér, G. Koós i R. Kissné Berta, u svojstvu agenata,

–

za Europsku komisiju, B.-R. Killmann i F. Clotuche‑Duvieusart, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 24. stavka 1. drugog podstavka Provedbene uredbe Komisije (EU) 2015/2447 od 24. studenoga 2015. o utvrđivanju detaljnih pravila za provedbu određenih odredbi Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća o Carinskom zakoniku Unije (SL 2015., L 343, str. 558. i ispravci SL 2016., L 87, str. 35., SL 2017., L 101, str. 196. i SL 2018., L 157, str. 27.).

2

Zahtjev je upućen u okviru spora između društva Deutsche Post AG i Hauptzollamta Köln (Glavni carinski ured u Kölnu, Njemačka, u daljnjem tekstu: Glavni carinski ured) o prirodi i opsegu osobnih podataka trećih osoba koje treba podnijeti kako bi poduzetnik dobio status ovlaštenog gospodarskog subjekta, predviđen člankom 39. Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća od 9. listopada 2013. o Carinskom zakoniku Unije (SL 2013., L 269, str. 1. i ispravci SL 2013., L 287, str. 90., SL 2015., L 70, str. 64., SL 2016., L 267, str. 2. i SL 2018., L 294, str. 44., u daljnjem tekstu: Carinski zakonik).

3

Članci 38. do 41. dio su odjeljka 4., naslovljenog „Ovlašteni gospodarski subjekt” (u daljnjem tekstu: AEO), koji se nalazi u poglavlju 2., naslovljenom „Prava i obveze osoba u vezi s carinskim zakonodavstvom” i sadržanom u glavi I. Carinskog zakonika.

4

Članak 38. tog zakonika predviđa:

„1.   Gospodarski subjekt koji ima poslovni nastan na carinskom području Unije i koji ispunjava kriterije iz članka 39. može podnijeti zahtjev za status [AEO‑a].

Carinska tijela, po potrebi nakon savjetovanja s drugim nadležnim tijelima, dodjeljuju takav status, koji podliježe praćenju.

2.   Status [AEO‑a] sastoji se od sljedećih vrsta odobrenja:

[…]

5.   Carinska tijela, na temelju priznanja statusa [AEO‑a] za carinsko pojednostavljenje i pod uvjetom da su ispunjeni zahtjevi koji se odnose na određenu vrstu pojednostavljenja koja se navodi u carinskom zakonodavstvu, odobravaju subjektu da iskoristi navedeno pojednostavljenje. Carinska tijela ne preispituju te kriterije koji su prethodno bili ispitani pri odobravanju statusa [AEO‑a].

6.   [AEO] iz stavka 2. uživa povlašteniji tretman u odnosu na ostale gospodarske subjekte u vezi carinskih provjera sukladno vrsti odobrenja, uključujući manje fizičkih provjera i provjera koje se temelje na ispravama.

[…]”

5

Članak 39. navedenog zakonika određuje:

„Kriteriji za odobrenje statusa ‚[AEO‑a]’ su sljedeći:

[…]”

6

U skladu s člankom 41. prvim podstavkom istog zakonika:

„Komisija putem provedbenih akata donosi načine za primjenu kriterija iz članka 39.”

7

Članci 24. do 35. dio su odjeljka 3., naslovljenog „Ovlašteni gospodarski subjekt”, koji se nalazi u poglavlju 2., naslovljenom „Prava i obveze osoba u vezi s carinskim zakonodavstvom” i sadržanom u glavi I. Provedbene uredbe 2015/2447.

8

Članak 24. stavak 1. drugi podstavak te uredbe predviđa:

„Ako podnositelj zahtjeva nije fizička osoba, smatra se da je kriterij iz članka 39. točke (a) Zakonika ispunjen ako u protekle tri godine nijedna od sljedećih osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću:

9

U uvodnoj izjavi 9. Delegirane uredbe Komisije (EU) 2016/341 od 17. prosinca 2015. o dopuni Uredbe br. 952/2013 u pogledu prijelaznih pravila za određene odredbe Carinskog zakonika Unije dok odgovarajući elektronički sustavi još nisu operativni te o izmjeni Delegirane uredbe Komisije (EU) 2015/2446 (SL 2016., L 69, str. 1. i ispravci SL 2016., L 101, str. 33., SL 2017., L 101, str. 221. i SL 2017., L 281, str. 34.) navodi se:

„S obzirom na to da se nadogradnja elektroničkog sustava potrebnog za primjenu odredbi [Carinskog] zakonika kojima se uređuje podnošenje zahtjeva za [AEO‑a] i odobravanje tog statusa tek treba provesti, sredstva u papirnatom i elektroničkom obliku koja su trenutačno u uporabi trebaju se i dalje upotrebljavati sve dok se ne provede nadogradnja sustava.”

10

Članak 1. te uredbe propisuje:

„1.   Ovom Uredbom utvrđuju se prijelazne mjere u pogledu sredstava za razmjenu i pohranu podataka iz članka 278. [Carinskog] zakonika dok elektronički sustavi potrebni za primjenu odredbi [tog] zakonika još nisu operativni.

2.   Zahtjevi, formati i oznake koji se odnose na podatke, a koje je potrebno primjenjivati u prijelaznim razdobljima utvrđenima ovom Uredbom, Delegiranom uredbom Komisije (EU) 2015/2446 [od 28. srpnja 2015. o dopuni Uredbe br. 952/2013 o detaljnim pravilima koja se odnose na pojedine odredbe Carinskog zakonika Unije (SL 2015., L 343, str. 1. i ispravci SL 2016., L 87, str. 35., SL 2017., L 101, str. 164. i SL 2018., L 192, str. 62.)] i u Provedbenoj uredbi [2015/2447] utvrđeni su u prilozima ovoj Uredbi.”

11

Članak 5. Delegirane uredbe 2016/341 koji se nalazi u odjeljku 3., naslovljenom „Zahtjev za status AEO‑a” i sadržanom u poglavlju 1., naslovljenom „Opće odredbe”, predviđa:

„1.   Do datuma nadogradnje sustava AEO‑a iz Priloga Provedbenoj odluci Komisije 2014/255/EU [od 29. travnja 2014. o donošenju programa rada za Carinski zakonik Unije (SL 2014., L 134, str. 46.)] carinska tijela mogu dopustiti upotrebu drugih sredstava osim tehnika elektroničke obrade podataka za zahtjeve i odluke koji se odnose na AEO ili za sve naknadne događaje koji mogu utjecati na izvorni zahtjev ili odluku.

2.   U slučajevima iz stavka 1. ovog članka primjenjuje se sljedeće:

[…]”

12

Prilog 6. navedenoj uredbi sadržava dio naslovljen „Objašnjenja”. Članak 19. tih objašnjenja koji se odnosi na naziv, datum i potpis podnositelja zahtjeva među ostalim navodi sljedeće:

„[…]

Broj priloga: podnositelj zahtjeva navodi sljedeće opće informacije:

[…]

[…]”

13

Članak 2. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) predviđao je:

„U smislu ove Direktive:

[…]”

14

Članak 6. te direktive glasio je:

„1.   Države članice osiguravaju da su osobni podaci:

[…]

2.   Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.”

15

U skladu s člankom 7. navedene direktive:

„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:

[…]

[…]”

16

Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2018., L 127, str. 2.) stupila je na snagu 24. svibnja 2016. Njome je s učinkom od 25. svibnja 2018. stavljena izvan snage Direktiva 95/46.

17

Članak 4. te direktive, među ostalim, sadržava sljedeće definicije:

Za potrebe ove Uredbe:

[…]”

18

Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, predviđa:

„1.   Osobni podaci moraju biti:

[…]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

19

Članak 6. te uredbe, naslovljen „Zakonitost obrade”, određuje:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom […]. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

[…]”

20

Članak 139.a stavak 1. Abgabenordnunga (Njemački porezni zakonik, u daljnjem tekstu: AO), u verziji koja se primjenjuje na glavni postupak, predviđa:

„Savezni središnji porezni ured u svrhu nedvojbene identifikacije u poreznim postupcima dodjeljuje svakom poreznom obvezniku jedinstvenu i trajnu oznaku (identifikacijska oznaka); porezni obveznik ili treća osoba koja podatke toga poreznog obveznika prenosi poreznim tijelima mora na zahtjevima, očitovanjima i obavijestima poreznim tijelima navesti identifikacijsku oznaku. Sastoji se od niza znamenaka koje se ne mogu sastaviti ili izvesti iz drugih podataka o poreznom obvezniku; na zadnjem mjestu je kontrolni broj […]”

21

Članak 139.b AO‑a, naslovljen „Identifikacijski broj”, određuje:

„(1)   Fizičkoj osobi ne može biti dodijeljeno više od jednog identifikacijskog broja […]

(2)   Porezna tijela mogu pribaviti i koristiti identifikacijski broj samo ako im je potreban za ispunjenje njihovih zakonskih obveza ili ako zakonska odredba izričito dopušta ili nalaže pribavljanje ili korištenje identifikacijskog broja. Drugi javni ili privatni subjekti mogu

[…]”

22

Članak 38. stavci 1. i 3. Einkommensteuergesetza (Zakon o porezu na dohodak; u daljnjem tekstu: EStG), u verziji koja se primjenjuje na glavni postupak, glasi kako slijedi:

„(1)   Kod prihoda od nesamostalnog rada, porez na dohodak naplaćuje se kao porez po odbitku (porez na plaće) ako plaću isplaćuje poslodavac […]

[…]

(3)   Poslodavac će porez na plaće za račun zaposlenika odbiti od njegove plaće pri svakoj isplati plaće.”

23

U skladu s člankom 39. stavkom 1. EStG‑a, naslovljenim „Pojedinačni podaci namijenjeni izračunu poreza po odbitku na plaće”:

„Za primjenu poreza po odbitku na plaće na zahtjev zaposlenika određuju se pojedinačni podaci namijenjeni izračunu poreza po odbitku na plaće […]”

24

U skladu s člankom 39.e EStG‑a naslovljenim „Postupak određivanja i primjene pojedinačnih elektroničkih podataka namijenjenih izračunu poreza po odbitku na plaće”:

„(1)   Savezni središnji porezni ured za svakog zaposlenika načelno automatizirano određuje porezni razred, kao i broj poreznih olakšica za djecu koja se uzimaju u obzir za porezne razrede od I. do IV. […] kao pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće (članak 39. stavak 4. prva rečenica točke 1. i 2.) […] Kada porezna uprava u skladu s člankom 39. određuje pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće, ona o njima obavještava Savezni središnji porezni ured u svrhu omogućavanja poslodavcu njihova automatiziranog preuzimanja […]

(2)   Kako bi poslodavcu omogućio automatizirano preuzimanje pojedinačnih podataka namijenjenih izračunu poreza po odbitku na plaće Savezni središnji porezni ured pohranjuje pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće navođenjem identifikacijskog broja za svakog poreznog obveznika uz navođenje, osim podataka iz članka 139.b stavka 3. [AO‑a] i sljedećih podataka:

[…]

(4)   Zaposlenik mora svakog poslodavca na datum zasnivanja radnog odnosa, u svrhu preuzimanja pojedinačnih podataka namijenjenih izračunu poreza po odbitku na plaće, obavijestiti o:

[…]

Poslodavac prilikom zasnivanja radnog odnosa od Saveznog središnjeg poreznog ureda daljinskim prijenosom podataka mora preuzeti pojedinačne elektroničke podatke namijenjene izračunu poreza po odbitku na plaće koji se odnose na zaposlenika te ih pohraniti na račun za obračun plaća zaposlenika.”

25

Društvo Deutsche Post imalo je status ovlaštenog primatelja i ovlaštenog pošiljatelja te je bilo nositelj odobrenja za primjenu zajedničkog osiguranja kao pojednostavljenja u carinskom sustavu Unije.

26

Budući da su Carinskim zakonikom izmijenjeni pojedinačni uvjeti za izdavanje odobrenja u području carina, Glavni carinski ured je dopisom od 19. travnja 2017. zatražio od društva Deutsche Post da odgovori na upitnik o samoprocjeni u kojemu je ono trebalo precizno navesti članove savjetodavnih i nadzornih tijela, njihove ključne upravitelje (članovi uprave, voditelji odjela, menadžeri u računovodstvu, voditelji carinskog odjela itd.) i osobe koje su nadležne za carinska pitanja ili njihovu obradu, prosljeđivanjem, među ostalim, poreznih identifikacijskih brojeva svake od tih fizičkih osoba i podataka o poreznim upravama koje su za njih nadležne.

27

Glavni carinski ured pojasnio je društvu Deutsche Post da bez njihove tijesne suradnje neće biti moguće utvrditi jesu li ispunjeni uvjeti za izdavanje odobrenja predviđeni Carinskim zakonikom te da će, ako ti uvjeti više nisu ispunjeni, opozvati njihova odobrenja.

28

Tužbom koju je podnijelo Finanzgerichtu Düsseldorf (Financijski sud u Düsseldorfu, Njemačka) društvo Deutsche Post osporava obvezu prosljeđivanja poreznih identifikacijskih brojeva predmetnih osoba i podataka o poreznim upravama koje su za njih nadležne.

29

Ono ističe da je znatan broj osoba iz društva na koje se odnose pitanja koja je postavio Glavni carinski ured, da dio tih osoba ne želi dati pristanak za prosljeđivanje osobnih podataka koji se na njih odnose te da je tih osoba više nego onih navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447. Ono smatra da situacija u kojoj se nalaze njegovi zaposlenici u odnosu na porez na dohodak ne omogućuje ocjenu toga jesu li počinjene teške ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću. Prema njegovu mišljenju, prikupljanje poreznih identifikacijskih brojeva nije nužno niti primjereno za utvrđenje njegove pouzdanosti kad je riječ o carinskom pravu s obzirom na to da je provjera osobnog poreznog stanja svih osoba čiji se podaci obrađuju neproporcionalna u odnosu na taj cilj.

30

Glavni carinski ured zahtijeva da se tužba odbije. On najprije ističe da je prosljeđivanje poreznih identifikacijskih brojeva nužno kako bi se omogućilo jasno utvrđivanje identiteta predmetnih osoba u okviru zahtjeva za pružanje informacija koji je podnio nadležnoj poreznoj upravi te da je razmjena informacija od slučaja do slučaja predviđena samo ako navedena uprava raspolaže podacima koji se odnose na teške i ponovljene povrede poreznog zakonodavstva, s obzirom na to da se ne uzimaju u obzir upravni postupci u kojima su izrečene novčane kazne ili kazneni postupci koji su obustavljeni te da se ponovljene povrede tog zakonodavstva uzimaju u obzir samo u slučaju ponavljanja koje je neproporcionalno u odnosu na prirodu i važnost gospodarske djelatnosti podnositelja zahtjeva za izdavanje odobrenja. On smatra da je krug osoba na koje se odnose postavljena pitanja u skladu s carinskim zakonodavstvom Unije.

31

Prema mišljenju suda koji je uputio zahtjev, odluka u glavnom postupku ovisi o tumačenju članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 u vezi s člankom 8. Povelje Europske unije o temeljnim pravima i Uredbom 2016/679 s obzirom na to da porezni identifikacijski brojevi osoba čiji se podaci obrađuju i podaci o poreznim upravama koje su za njih nadležne čine osobne podatke.

32

S jedne strane, on se pita čini li prosljeđivanje takvih podataka zakonitu obradu u smislu Provedbene uredbe 2015/2447. S druge strane, on sumnja u nužnost pristupa osobnim podacima zaposlenika i članova nadzornog odbora društva Deutsche Post koji su prikupljeni u svrhu naplate poreza na dohodak u obliku poreza po odbitku na plaće.

33

Sud koji je uputio zahtjev smatra da osobni podaci tih zaposlenika nisu u izravnoj vezi s ocjenom pouzdanosti društva Deutsche Post s obzirom na odredbe carinskog prava te da nisu ni u kakvoj vezi s njegovom gospodarskom djelatnošću.

34

Sud koji je uputio zahtjev pita može li carinska uprava, s obzirom na članak 8. stavak 1. Povelje o temeljnim pravima i s obzirom na načelo proporcionalnosti, tražiti osobne podatke kao što su porezni identifikacijski broj osoba čiji se podaci obrađuju i podatke o poreznim upravama nadležnima za izračunavanje poreza na dohodak tih osoba. On ističe da članovi nadzornog odbora nisu navedeni u prilogu 6. Delegiranoj uredbi 2016/341 te da, poput voditelja odjela i menadžera u računovodstvu, nisu nadležni za rješavanje pitanja koja se odnose na carinsko zakonodavstvo.

35

U tim je okolnostima Finanzgericht Düsseldorf (Financijski sud u Düsseldorfu) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Treba li članak 24. stavak 1. drugi podstavak Provedbene uredbe [2015/2447] tumačiti na način da se njime carinskim tijelima dopušta da od podnositelja zahtjeva traže da ih obavijesti o poreznim identifikacijskim brojevima koje je izdao njemački Savezni središnji porezni ured u svrhu naplate poreza na dohodak i o poreznim upravama nadležnima za razrez poreza na dohodak članova nadzornog odbora podnositelja zahtjeva, njegovih članova uprave, voditelja odjela, voditelja računovodstva, voditelja carinskog odjela kao i osoba odgovornih za carinska pitanja i osoba koje rješavaju carinske stvari?”

36

Kako bi se dao odgovor na postavljeno pitanje, zainteresirane se stranke, uz iznimku Europske komisije, pozivaju na Uredbu 2016/679, što čini i sud koji je uputio zahtjev.

37

U tom pogledu Komisija ističe da je – s obzirom na to da su se činjenice u glavnom postupku odvijale u travnju 2017. – za donošenje odluke u glavnom postupku mjerodavna Direktiva 95/46.

38

Međutim, s obzirom na deklaratornu prirodu tužbe pred nacionalnim sudom (Feststellungsklage), nije isključeno da je ta uredba primjenjiva ratione temporis za donošenje odluke u glavnom postupku, jer ta dvojba nije razjašnjena na raspravi.

39

Stoga na postavljeno pitanje treba odgovoriti kako s obzirom na Direktivu 95/46 tako i s obzirom na Uredbu 2016/679.

40

Svojim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 u vezi s Direktivom 95/46 i Uredbom 2016/679 tumačiti na način da je carinskim tijelima dopušteno zahtijevati od podnositelja zahtjeva za status AEO‑a da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu naplate poreza na dohodak koji se odnose na članove nadzornog odbora i članove uprave, voditelje odjela, voditelje računovodstva, voditelje carinskog odjela, uključujući osobe odgovorne za carinska pitanja i osobe koje rješavaju carinske stvari, kao i podatke o poreznim upravama koje su nadležne za sve te osobe.

41

Kao prvo, valja istaknuti da članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 predviđa da se, ako podnositelj zahtjeva za status AEO‑a nije fizička osoba, smatra da je kriterij iz članka 39. točke (a) Zakonika ispunjen ako u protekle tri godine nijedna od u njemu navedenih osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću.

42

Riječ je samo o podnositelju zahtjeva, osobi koja je nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i o zaposleniku nadležnom za carinska pitanja podnositelja zahtjeva. Čitajući tu odredbu stječe se dojam da je taj popis taksativan.

43

Stoga se ne može prihvatiti da se članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 može tumačiti na način da se odnosi na fizičke osobe različite od onih koje su nadležne za podnositelja zahtjeva, koje provode kontrolu nad njegovim upravljanjem ili koje su nadležne za njegova carinska pitanja. Tako se ta odredba ne odnosi na članove savjetodavnih i nadzornih odbora pravne osobe, voditelje odjela, uz iznimku onih koji su nadležni za carinska pitanja podnositelja zahtjeva, voditelje računovodstva i osobe nadležne za carinska pitanja.

44

Kad je riječ o članovima uprave, oni moraju poštovati zahtjeve iz navedene odredbe ako ih se, u situaciji poput one o kojoj je riječ u glavnom postupku, može smatrati nadležnima za podnositelja zahtjeva ili se može smatrati da provode kontrolu nad njegovim upravljanjem.

45

Doduše, Delegirana uredba 2016/341 u točki 19. objašnjenja sadržanih u njezinu prilogu 6. predviđa da podnositelj zahtjeva za status AEO‑a podnosi nazive i položaje s popisa fizičkih osoba koji je širi od onog iz članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 u obliku priloga obrascu zahtjeva za taj status.

46

Međutim, u tom je pogledu dovoljno utvrditi da se Delegiranu uredbu 2016/341 ne može tumačiti na način da je njezin predmet ili učinak stavljanje izvan snage članka 41. prvog stavka Carinskog zakonika u skladu s kojim Komisija provedbenim aktima donosi načine za primjenu kriterija iz članka 39. tog zakonika koje treba ispitati kako bi se utvrdilo može li se podnositelju zahtjeva dodijeliti status AEO‑a.

47

Stoga, Delegirana uredba 2016/341 ne utječe na doseg članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447.

48

Usto, okolnost da se tom odredbom poštovanju zahtjeva koje predviđa podvrgavaju „osoba” nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i „zaposlenik” nadležan za carinska pitanja podnositelja zahtjeva ne može dovesti do toga da se smatra da se ti zahtjevi odnose na samo jednu osobu koja je nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i na samo jednog zaposlenika koji je nadležan za njegova carinska pitanja.

49

Naime, ne može se isključiti da je unutar organizacije društva nekoliko fizičkih osoba istodobno nadležno za njega ili da one zajedno provode kontrolu nad njegovim upravljanjem te da je nekoliko drugih fizičkih osoba nadležno za njegova carinska pitanja, osobito na teritorijalnoj osnovi.

50

Posljedično, fizičke osobe iz članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 su sve one osobe koje su, unutar organizacije podnositelja zahtjeva, nadležne za njega ili koje provode kontrolu nad njegovim upravljanjem, kao i osobe koje su nadležne za njegova carinska pitanja.

51

Kao drugo, kako bi carinska tijela mogla odgovoriti na zahtjev za dobivanje statusa AEO‑a, ta odredba podrazumijeva da im je dopušten pristup podacima kojima se omogućuje utvrđivanje toga da nijedna od fizičkih osoba navedenih u toj odredbi nije počinila tešku povredu ili ponovljene povrede carinskog zakonodavstva ili poreznih odredbi niti je osuđena za tešku kaznenu povredu povezanu s njezinom gospodarskom djelatnošću.

52

U ovome slučaju njemačka carinska tijela traže dostavu poreznih identifikacijskih brojeva fizičkih osoba navedenih u točki 50. ove presude i podatke o poreznim upravama koje su nadležne za te osobe.

53

U takvoj je situaciji, ako praksa tih tijela podrazumijeva obradu osobnih podataka u smislu članka 2. točke (a) Direktive 95/46 ili članka 4. stavka 2. Uredbe 2016/679, važno da se poštuje propis Unije koji se odnosi na zaštitu tih podataka.

54

U tom pogledu taj propis podrazumijeva da se pravo na poštovanje privatnog života s obzirom na obradu osobnih podataka odnosi na svaku informaciju o fizičkoj osobi čiji identitet je utvrđen ili se može utvrditi (vidjeti, u tom smislu, presude od 9. studenoga 2010., Volker und Markus Schecke i Eifert, C‑92/09 i C‑93/09, EU:C:2010:662, t. 52. i od 17. listopada 2013., Schwarz, C‑291/12, EU:C:2013:670, t. 26.).

55

Iz sudske prakse Suda također proizlazi da su porezni podaci „osobni podaci” u smislu članka 2. točke (a) Direktive 95/46 (vidjeti, u tom smislu presude od 1. listopada 2015., Bara i dr., C‑201/14, EU:C:2015:638, t. 29. kao i od 27. rujna 2017., Puškár, C‑73/16, EU:C:2017:725, t. 41.).

56

Porezni identifikacijski broj po svojoj je prirodi porezni podatak koji se odnosi na fizičku osobu čiji je identitet utvrđen ili se može utvrditi i prema tome je osobni podatak. Osim toga, zbog veze koju su carinska tijela uspostavila između poreznog identifikacijskog broja osobe čiji je identitet precizno utvrđen i informacije koja se odnosi na poreznu upravu koja je nadležna za takvu osobu, tu se informaciju također treba smatrati osobnim podatkom.

57

Svaka obrada osobnih podataka mora, s jedne strane, biti usklađena s načelima o kvaliteti podataka navedenima u članku 6. Direktive 95/46 ili u članku 5. Uredbe 2016/679 i, s druge strane, odgovarati jednom od načela zakonitosti obrade podataka navedenih u članku 7. te direktive ili u članku 6. te uredbe (vidjeti, u tom smislu, presude od 20. svibnja 2003., Österreichischer Rundfunk i dr., C‑465/00, C‑138/01 i C‑139/01, EU:C:2003:294, t. 65. i od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 71.).

58

Preciznije, osobni podaci moraju se, na temelju članka 6. stavka 1. točaka (b) i (c) Direktive 95/46 ili članka 5. stavka 1. točaka (b) i (c) Uredbe 2016/679, prikupljati u posebne, izričite i zakonite svrhe, kao i svrhe koje su primjerene, relevantne i ograničene na ono što je nužno za postizanje navedenih ciljeva s obzirom na to da je, u skladu s člankom 7. točkom (c) te direktive ili člankom 6. stavkom 1. točkom (c) te uredbe njihova obrada zakonita ako je nužna radi poštovanja pravnih obveza voditelja obrade.

59

Usto, valja podsjetiti da zahtjev za poštenu obradu osobnih podataka predviđen u članku 6. Direktive 95/46 odnosno u članku 5. Uredbe 2016/679 propisuje obvezu obavještavanja dotičnih osoba o tome da carinska tijela prikupljaju te podatke u svrhu njihove kasnije obrade (vidjeti, u tom smislu, presudu od 1. listopada 2015., Bara i dr., C‑201/14, EU:C:2015:638, t. 34.).

60

Kad je riječ o situaciji u glavnom postupku, s jedne strane čini se da je porezne identifikacijske brojeve fizičkih osoba prvo prikupljao njihov poslodavac kako bi se osiguralo poštovanje propisa koji se odnosi na porez na dohodak i, preciznije, obveze potonjeg da u obliku poreza po odbitku naplaćuje porez koji se izračunava s obzirom na primitke od plaćenog rada svake od tih fizičkih osoba.

61

S druge strane, čini se nužnim da carinska tijela kasnije prikupljaju te osobne podatke u svrhu donošenja odluke o zahtjevu za status AEO‑a radi poštovanja pravne obveze kojoj podliježu na temelju članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 i uvjeta koje propisuje za dodjelu tog statusa. U toj se mjeri, navedeni podaci prikupljaju i stoga obrađuju u posebne, izričite i zakonite svrhe.

62

Isto vrijedi kad je riječ o tome da carinska tijela prikupljaju podatke o poreznim upravama nadležnima za razrez poreza na dohodak navedenih fizičkih osoba s obzirom na to da je svrha takvog prikupljanja također omogućiti tim tijelima da odgovore na zahtjev za status AEO‑a.

63

Stoga je potrebno da su, u situaciji poput one o kojoj je riječ u glavnom postupku, podaci koje su carinska tijela prikupila u svrhu razreza poreza na dohodak, odnosno porezni identifikacijski brojevi i podaci o poreznim upravama koje su nadležne za te osobe, kao što i proizlazi iz točke 58. ove presude, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se prikupljaju ti osobni podaci.

64

Kao što je to naveo nezavisni odvjetnik u točki 66. svojeg mišljenja, dodijeliti status AEO‑a operatoru za carinska tijela činjenično je jednako potonjemu dodijeliti dio funkcija kontrole nad carinskim propisima. Stoga je prije dodjele tog statusa važno da ta tijela raspolažu podacima o pouzdanosti podnositelja zahtjeva za navedeni status u pogledu poštovanja carinskih propisa i o pouzdanosti fizičkih osoba navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 kad je riječ o njihovu poštovanju carinskog zakonodavstva i poreznih odredbi koje se na njih odnose.

65

Stoga je prikupljanje poreznih identifikacijskih brojeva samo od onih fizičkih osoba navedenih u tom članku, kao i podataka o poreznim upravama koje su za njih nadležne, primjerena i relevantna mjera kako bi se carinskim tijelima omogućilo da provjere je li jednu od povreda iz navedenog članka počinio netko od njih.

66

Osim toga, čini se da su osobni podaci koje su ta tijela tako prikupila ograničeni na ono što je nužno za postizanje svrhe navedene u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 kad je riječ o podacima kojima je pristup ograničen, a koji sami po sebi carinskim tijelima ne otkrivaju povjerljive podatke o osobnoj situaciji, poput bračnog stanja ili vjerske pripadnosti ili o dohotku fizičkih osoba na koje se odnose.

67

Iako, kao što to ističe sud koji je uputio zahtjev, prikupljanje poreznih identifikacijskih brojeva fizičkih osoba navedenih u tom članku i podataka o poreznim upravama koje su za njih nadležne carinskim tijelima načelno omogućuje pristup osobnim podacima koji nisu ni u kakvoj vezi s gospodarskom djelatnošću podnositelja zahtjeva za status AEO‑a, valja ustanoviti da se povrede poreznih odredbi navedene u tom članku ne ograničavaju na one povezane s gospodarskom djelatnošću podnositelja zahtjeva za status AEO‑a.

68

U tom pogledu, čini se opravdanim da te vlasti prije dodjele takvog statusa podnositelju zahtjeva, čime se na njega, kao što i proizlazi iz točke 64. ove presude, prenose ovlasti carinskih tijela, provjere ne samo poštuje li on carinsko zakonodavstvo nego također jesu li fizičke osobe navedene u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 s obzirom na njihovu razinu odgovornosti u organizacijskoj strukturi tog podnositelja zahtjeva počinile tešku povredu ili ponovljene povrede tog zakonodavstva ili poreznih odredbi, neovisno o tomu jesu li te povrede povezane s gospodarskom djelatnošću navedenog podnositelja zahtjeva.

69

Posljedično, carinska tijela smiju prikupljati porezne identifikacijske brojeve fizičkih osoba taksativno navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 i podatke o poreznim upravama koje su nadležne za te osobe samo ako im ti podaci omogućuju dobivanje informacija koje se odnose na teške ili ponovljene povrede carinskog zakonodavstva, poreznih odredbi ili teške kaznene povrede koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.

70

S obzirom na prethodno navedena razmatranja, na postavljeno pitanje valja odgovoriti tako da članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 u vezi s Direktivom 95/46 i Uredbom 2016/679 treba tumačiti na način da carinska tijela od podnositelja zahtjeva za status AEO‑a mogu tražiti da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu razreza poreza na dohodak fizičkih osoba koje su odgovorne za podnositelja zahtjeva ili koje provode kontrolu nad njegovim upravljanjem te osoba nadležnih za njegova carinska pitanja, kao i podatke o poreznim upravama nadležnima za te osobe pod uvjetom da ti podaci tim tijelima omogućuju dobivanje informacija o teškim ili ponovljenim povredama carinskog zakonodavstva, poreznih odredbi ili teškim kaznenim povredama koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.

71

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (treće vijeće) odlučuje:

Članak 24. stavak 1. drugi podstavak Provedbene uredbe Komisije (EU) 2015/2447 od 24. studenoga 2015. o utvrđivanju detaljnih pravila za provedbu određenih odredbi Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća o Carinskom zakoniku Unije u vezi s Direktivom 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka i s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da carinska tijela od podnositelja zahtjeva za status ovlaštenog gospodarskog subjekta mogu tražiti da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu razreza poreza na dohodak fizičkih osoba koje su odgovorne za podnositelja zahtjeva ili koje provode kontrolu nad njegovim upravljanjem te osoba nadležnih za njegova carinska pitanja, kao i podatke o poreznim upravama nadležnima za te osobe pod uvjetom da ti podaci tim tijelima omogućuju dobivanje informacija o teškim ili ponovljenim povredama carinskog zakonodavstva, poreznih odredbi ili teškim kaznenim povredama koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.