CELEX: 62017CJ0496
Zahtjev za prethodnu odluku
Carinska unija
Carinski zakonik Unije
Članak 39.
Status ovlaštenog gospodarskog subjekta
Provedbena uredba (EU) 2015/2447
Članak 24. stavak 1. drugi podstavak
Podnositelj zahtjeva koji nije fizička osoba
Upitnik
Prikupljanje osobnih podataka
Direktiva 95/46/EZ
Članci 6. i 7.
Uredba (EU) 2016/679
Članci 5. i 6.
Obrada osobnih podataka

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 24. stavka 1. drugog podstavka Provedbene uredbe Komisije (EU) 2015/2447 od 24. studenoga 2015. o utvrđivanju detaljnih pravila za provedbu određenih odredbi Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća o Carinskom zakoniku Unije (
SL 2015., L 343, str. 558
. i ispravci
SL 2016., L 87, str. 35
.,
SL 2017., L 101, str. 196
. i
SL 2018., L 157, str. 27
.).
Zahtjev je upućen u okviru spora između društva Deutsche Post AG i Hauptzollamta Köln (Glavni carinski ured u Kölnu, Njemačka, u daljnjem tekstu: Glavni carinski ured) o prirodi i opsegu osobnih podataka trećih osoba koje treba podnijeti kako bi poduzetnik dobio status ovlaštenog gospodarskog subjekta, predviđen člankom 39. Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća od 9. listopada 2013. o Carinskom zakoniku Unije (
SL 2013., L 269, str. 1
. i ispravci
SL 2013., L 287, str. 90
.,
SL 2015., L 70, str. 64
.,
SL 2016., L 267, str. 2
. i
SL 2018., L 294, str. 44
., u daljnjem tekstu: Carinski zakonik).
Pravni okvir
Pravo Unije
Carinsko zakonodavstvo
Članci 38. do 41. dio su odjeljka 4., naslovljenog „Ovlašteni gospodarski subjekt” (u daljnjem tekstu: AEO), koji se nalazi u poglavlju 2., naslovljenom „Prava i obveze osoba u vezi s carinskim zakonodavstvom” i sadržanom u glavi I. Carinskog zakonika.
Članak 38. tog zakonika predviđa:
„1.   Gospodarski subjekt koji ima poslovni nastan na carinskom području Unije i koji ispunjava kriterije iz članka 39. može podnijeti zahtjev za status [AEO‑a].
Carinska tijela, po potrebi nakon savjetovanja s drugim nadležnim tijelima, dodjeljuju takav status, koji podliježe praćenju.
2.   Status [AEO‑a] sastoji se od sljedećih vrsta odobrenja:
(a)
za [AEO‑a] za carinsko pojednostavljenje koje omogućuje korisniku odobrenja korištenje određenih pojednostavljenja u skladu s carinskim zakonodavstvom; ili
(b)
za [AEO‑a] za sigurnost i zaštitu koje omogućuje korisniku odobrenja pojednostavljenja koja se odnose na sigurnost i zaštitu.
[…]
5.   Carinska tijela, na temelju priznanja statusa [AEO‑a] za carinsko pojednostavljenje i pod uvjetom da su ispunjeni zahtjevi koji se odnose na određenu vrstu pojednostavljenja koja se navodi u carinskom zakonodavstvu, odobravaju subjektu da iskoristi navedeno pojednostavljenje. Carinska tijela ne preispituju te kriterije koji su prethodno bili ispitani pri odobravanju statusa [AEO‑a].
6.   [AEO] iz stavka 2. uživa povlašteniji tretman u odnosu na ostale gospodarske subjekte u vezi carinskih provjera sukladno vrsti odobrenja, uključujući manje fizičkih provjera i provjera koje se temelje na ispravama.
[…]”
Članak 39. navedenog zakonika određuje:
„Kriteriji za odobrenje statusa ‚[AEO‑a]’ su sljedeći:
(a)
nepostojanje ikakve teške povrede ili ponovljene povrede carinskog zakonodavstva i poreznih pravila, uključujući nepostojanje teških kaznenih djela povezanih s gospodarskim aktivnostima podnositelja zahtjeva;
[…]”
U skladu s člankom 41. prvim podstavkom istog zakonika:
„Komisija putem provedbenih akata donosi načine za primjenu kriterija iz članka 39.”
Članci 24. do 35. dio su odjeljka 3., naslovljenog „Ovlašteni gospodarski subjekt”, koji se nalazi u poglavlju 2., naslovljenom „Prava i obveze osoba u vezi s carinskim zakonodavstvom” i sadržanom u glavi I. Provedbene uredbe 2015/2447.
Članak 24. stavak 1. drugi podstavak te uredbe predviđa:
„Ako podnositelj zahtjeva nije fizička osoba, smatra se da je kriterij iz članka 39. točke (a) Zakonika ispunjen ako u protekle tri godine nijedna od sljedećih osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću:
(a)
podnositelj zahtjeva;
(b)
osoba koja je nadležna za podnositelja zahtjeva ili provodi kontrolu nad njegovim upravljanjem;
(c)
zaposlenik nadležan za carinska pitanja podnositelja zahtjeva.”
U uvodnoj izjavi 9. Delegirane uredbe Komisije (EU) 2016/341 od 17. prosinca 2015. o dopuni Uredbe br. 952/2013 u pogledu prijelaznih pravila za određene odredbe Carinskog zakonika Unije dok odgovarajući elektronički sustavi još nisu operativni te o izmjeni Delegirane uredbe Komisije (EU) 2015/2446 (
SL 2016., L 69, str. 1
. i ispravci
SL 2016., L 101, str. 33
.,
SL 2017., L 101, str. 221
. i
SL 2017., L 281, str. 34
.) navodi se:
„S obzirom na to da se nadogradnja elektroničkog sustava potrebnog za primjenu odredbi [Carinskog] zakonika kojima se uređuje podnošenje zahtjeva za [AEO‑a] i odobravanje tog statusa tek treba provesti, sredstva u papirnatom i elektroničkom obliku koja su trenutačno u uporabi trebaju se i dalje upotrebljavati sve dok se ne provede nadogradnja sustava.”
Članak 1. te uredbe propisuje:
„1.   Ovom Uredbom utvrđuju se prijelazne mjere u pogledu sredstava za razmjenu i pohranu podataka iz članka 278. [Carinskog] zakonika dok elektronički sustavi potrebni za primjenu odredbi [tog] zakonika još nisu operativni.
2.   Zahtjevi, formati i oznake koji se odnose na podatke, a koje je potrebno primjenjivati u prijelaznim razdobljima utvrđenima ovom Uredbom, Delegiranom uredbom Komisije (EU) 2015/2446 [od 28. srpnja 2015. o dopuni Uredbe br. 952/2013 o detaljnim pravilima koja se odnose na pojedine odredbe Carinskog zakonika Unije (
SL 2015., L 343, str. 1
. i ispravci
SL 2016., L 87, str. 35
.,
SL 2017., L 101, str. 164
. i
SL 2018., L 192, str. 62
.)] i u Provedbenoj uredbi [2015/2447] utvrđeni su u prilozima ovoj Uredbi.”
Članak 5. Delegirane uredbe 2016/341 koji se nalazi u odjeljku 3., naslovljenom „Zahtjev za status AEO‑a” i sadržanom u poglavlju 1., naslovljenom „Opće odredbe”, predviđa:
„1.   Do datuma nadogradnje sustava AEO‑a iz Priloga Provedbenoj odluci Komisije 2014/255/EU [od 29. travnja 2014. o donošenju programa rada za Carinski zakonik Unije (
SL 2014., L 134, str. 46
.)] carinska tijela mogu dopustiti upotrebu drugih sredstava osim tehnika elektroničke obrade podataka za zahtjeve i odluke koji se odnose na AEO ili za sve naknadne događaje koji mogu utjecati na izvorni zahtjev ili odluku.
2.   U slučajevima iz stavka 1. ovog članka primjenjuje se sljedeće:
(a)
zahtjevi za status AEO‑a podnose se na obrascu iz Priloga 6. i
[…]”
Prilog 6. navedenoj uredbi sadržava dio naslovljen „Objašnjenja”. Članak 19. tih objašnjenja koji se odnosi na naziv, datum i potpis podnositelja zahtjeva među ostalim navodi sljedeće:
„[…]
Broj priloga: podnositelj zahtjeva navodi sljedeće opće informacije:
1.
Pregled glavnih vlasnika/dioničara, pri čemu se navode imena i adrese te njihovi razmjerni udjeli. Pregled članova uprave. Jesu li vlasnici otprije poznati carinskim tijelima zbog nepoštovanja zahtjeva?
2.
Osoba odgovorna za carinska pitanja u upravi podnositelja zahtjeva;
[…]
8.
Imena ključnih upravitelja (generalni direktori [članovi uprave], voditelji odjela, menadžeri u računovodstvu, voditelj carinskog odjela itd.). Opis usvojenih postupaka u situaciji kada nadležni zaposlenik nije prisutan, privremeno ili stalno;
9.
Imena i položaj osoba u organizaciji podnositelja zahtjeva koje imaju posebno stručno znanje u području carine. Ocjena razine znanja tih osoba u pogledu uporabe informatičke tehnologije u carinskim i komercijalnim postupcima te općim poslovnim pitanjima;
[…]”
Pravo na zaštitu osobnih podataka
Članak 2. Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (
SL 1995., L 281, str. 31
.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) predviđao je:
„U smislu ove Direktive:
(a)
‚osobni podaci’ znači bilo koji podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi (‚osoba čiji se podaci obrađuju’); osoba koja se može utvrditi je osoba čiji je identitet moguće utvrditi, izravno ili neizravno, a posebno navođenjem identifikacijskog broja ili jednog ili više činitelja značajnih za njegov fizički, fiziološki, mentalni, gospodarski, kulturni ili socijalni identitet;
(b)
‚obrada osobnih podataka’ (‚obrada’) znači bilo koji postupak ili skup postupaka koji se provode nad osobnim podacima, bilo automatskim putem ili ne, kao što je prikupljanje, snimanje, organiziranje, pohrana, prilagođavanje ili mijenjanje, vraćanje, obavljanje uvida, uporaba, otkrivanje prijenosom i širenjem ili stavljanje na raspolaganje drugim načinom, poravnavanje ili kombiniranje, blokiranje, brisanje ili uništavanje;
[…]”
Članak 6. te direktive glasio je:
„1.   Države članice osiguravaju da su osobni podaci:
(a)
obrađeni pošteno i zakonito;
(b)
prikupljeni u posebne, izričite i zakonite svrhe te da ih se dalje ne obrađuje na način koji bi bio nespojiv s tom svrhom. Daljnja obrada podataka u povijesne, statističke ili znanstvene svrhe ne smatra se nespojivom pod uvjetom da ta država članica osigura odgovarajuću zaštitu; […]
(c)
prikladni, relevantni i da nisu pretjerani u odnosu na svrhu zbog koje se prikupljaju i/ili dalje obrađuju;
[…]
2.   Nadzornik mora osigurati postupanje u skladu sa stavkom 1. ovog članka.”
U skladu s člankom 7. navedene direktive:
„Države članice osiguravaju da se osobni podaci mogu obrađivati jedino ako:
[…]
(c)
je obrada potrebna za sukladnost sa zakonskom obvezom kojoj nadzornik podliježe
[…]”
Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46 EZ (Opća uredba o zaštiti podataka) (
SL 2016., L 119, str. 1
. i ispravak
SL 2018., L 127, str. 2
.) stupila je na snagu 24. svibnja 2016. Njome je s učinkom od 25. svibnja 2018. stavljena izvan snage Direktiva 95/46.
Članak 4. te direktive, među ostalim, sadržava sljedeće definicije:
Za potrebe ove Uredbe:
„1.
‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi […] pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca;
2)
‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]”
Članak 5. navedene uredbe, naslovljen „Načela obrade osobnih podataka”, predviđa:
„1.   Osobni podaci moraju biti:
(a)
zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
(b)
prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […]
(c)
primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);
[…]
2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”
Članak 6. te uredbe, naslovljen „Zakonitost obrade”, određuje:
„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
[…]
(c)
obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
[…]
3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:
(a)
pravu Unije; ili
(b)
pravu države članice kojem voditelj obrade podliježe.
Svrha obrade određuje se tom pravnom osnovom […]. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.
[…]”
Njemačko pravo
Članak 139.a stavak 1. Abgabenordnunga (Njemački porezni zakonik, u daljnjem tekstu: AO), u verziji koja se primjenjuje na glavni postupak, predviđa:
„Savezni središnji porezni ured u svrhu nedvojbene identifikacije u poreznim postupcima dodjeljuje svakom poreznom obvezniku jedinstvenu i trajnu oznaku (identifikacijska oznaka); porezni obveznik ili treća osoba koja podatke toga poreznog obveznika prenosi poreznim tijelima mora na zahtjevima, očitovanjima i obavijestima poreznim tijelima navesti identifikacijsku oznaku. Sastoji se od niza znamenaka koje se ne mogu sastaviti ili izvesti iz drugih podataka o poreznom obvezniku; na zadnjem mjestu je kontrolni broj […]”
Članak 139.b AO‑a, naslovljen „Identifikacijski broj”, određuje:
„(1)   Fizičkoj osobi ne može biti dodijeljeno više od jednog identifikacijskog broja […]
(2)   Porezna tijela mogu pribaviti i koristiti identifikacijski broj samo ako im je potreban za ispunjenje njihovih zakonskih obveza ili ako zakonska odredba izričito dopušta ili nalaže pribavljanje ili korištenje identifikacijskog broja. Drugi javni ili privatni subjekti mogu
1.
pribaviti ili koristiti identifikacijski broj samo ako im je potreban za prenošenje podataka između njih i poreznih tijela ili zakonska odredba izričito dopušta ili nalaže pribavljanje ili korištenje identifikacijskog broja […]
3.
zakonito pribavljen identifikacijski broj poreznog obveznika koristiti za ispunjavanje svih obveza obavještavanja poreznih tijela ako se obveza obavještavanja odnosi na istog poreznog obveznika i ako je pribavljanje i korištenje identifikacijskog broja dopušteno prema stavku 1. ovog članka […]
[…]”
Članak 38. stavci 1. i 3. Einkommensteuergesetza (Zakon o porezu na dohodak; u daljnjem tekstu: EStG), u verziji koja se primjenjuje na glavni postupak, glasi kako slijedi:
„(1)   Kod prihoda od nesamostalnog rada, porez na dohodak naplaćuje se kao porez po odbitku (porez na plaće) ako plaću isplaćuje poslodavac […]
[…]
(3)   Poslodavac će porez na plaće za račun zaposlenika odbiti od njegove plaće pri svakoj isplati plaće.”
U skladu s člankom 39. stavkom 1. EStG‑a, naslovljenim „Pojedinačni podaci namijenjeni izračunu poreza po odbitku na plaće”:
„Za primjenu poreza po odbitku na plaće na zahtjev zaposlenika određuju se pojedinačni podaci namijenjeni izračunu poreza po odbitku na plaće […]”
U skladu s člankom 39.e EStG‑a naslovljenim „Postupak određivanja i primjene pojedinačnih elektroničkih podataka namijenjenih izračunu poreza po odbitku na plaće”:
„(1)   Savezni središnji porezni ured za svakog zaposlenika načelno automatizirano određuje porezni razred, kao i broj poreznih olakšica za djecu koja se uzimaju u obzir za porezne razrede od I. do IV. […] kao pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće (članak 39. stavak 4. prva rečenica točke 1. i 2.) […] Kada porezna uprava u skladu s člankom 39. određuje pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće, ona o njima obavještava Savezni središnji porezni ured u svrhu omogućavanja poslodavcu njihova automatiziranog preuzimanja […]
(2)   Kako bi poslodavcu omogućio automatizirano preuzimanje pojedinačnih podataka namijenjenih izračunu poreza po odbitku na plaće Savezni središnji porezni ured pohranjuje pojedinačne podatke namijenjene izračunu poreza po odbitku na plaće navođenjem identifikacijskog broja za svakog poreznog obveznika uz navođenje, osim podataka iz članka 139.b stavka 3. [AO‑a] i sljedećih podataka:
1.
pravne pripadnosti vjerskoj zajednici koja naplaćuje porez i datum početka i prestanka članstva;
2.
bračnog stanja prijavljenog u skladu s propisima kao i dana prijave ili promjene bračnog stanja i kod vjenčanih osoba identifikacijskog broja bračnog druga;
3.
djece s njihovim identifikacijskim brojevima […]
[…]
(4)   Zaposlenik mora svakog poslodavca na datum zasnivanja radnog odnosa, u svrhu preuzimanja pojedinačnih podataka namijenjenih izračunu poreza po odbitku na plaće, obavijestiti o:
1.
identifikacijskom broju i datumu rođenja […]
[…]
Poslodavac prilikom zasnivanja radnog odnosa od Saveznog središnjeg poreznog ureda daljinskim prijenosom podataka mora preuzeti pojedinačne elektroničke podatke namijenjene izračunu poreza po odbitku na plaće koji se odnose na zaposlenika te ih pohraniti na račun za obračun plaća zaposlenika.”
Glavni postupak i prethodno pitanje
Društvo Deutsche Post imalo je status ovlaštenog primatelja i ovlaštenog pošiljatelja te je bilo nositelj odobrenja za primjenu zajedničkog osiguranja kao pojednostavljenja u carinskom sustavu Unije.
Budući da su Carinskim zakonikom izmijenjeni pojedinačni uvjeti za izdavanje odobrenja u području carina, Glavni carinski ured je dopisom od 19. travnja 2017. zatražio od društva Deutsche Post da odgovori na upitnik o samoprocjeni u kojemu je ono trebalo precizno navesti članove savjetodavnih i nadzornih tijela, njihove ključne upravitelje (članovi uprave, voditelji odjela, menadžeri u računovodstvu, voditelji carinskog odjela itd.) i osobe koje su nadležne za carinska pitanja ili njihovu obradu, prosljeđivanjem, među ostalim, poreznih identifikacijskih brojeva svake od tih fizičkih osoba i podataka o poreznim upravama koje su za njih nadležne.
Glavni carinski ured pojasnio je društvu Deutsche Post da bez njihove tijesne suradnje neće biti moguće utvrditi jesu li ispunjeni uvjeti za izdavanje odobrenja predviđeni Carinskim zakonikom te da će, ako ti uvjeti više nisu ispunjeni, opozvati njihova odobrenja.
Tužbom koju je podnijelo Finanzgerichtu Düsseldorf (Financijski sud u Düsseldorfu, Njemačka) društvo Deutsche Post osporava obvezu prosljeđivanja poreznih identifikacijskih brojeva predmetnih osoba i podataka o poreznim upravama koje su za njih nadležne.
Ono ističe da je znatan broj osoba iz društva na koje se odnose pitanja koja je postavio Glavni carinski ured, da dio tih osoba ne želi dati pristanak za prosljeđivanje osobnih podataka koji se na njih odnose te da je tih osoba više nego onih navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447. Ono smatra da situacija u kojoj se nalaze njegovi zaposlenici u odnosu na porez na dohodak ne omogućuje ocjenu toga jesu li počinjene teške ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću. Prema njegovu mišljenju, prikupljanje poreznih identifikacijskih brojeva nije nužno niti primjereno za utvrđenje njegove pouzdanosti kad je riječ o carinskom pravu s obzirom na to da je provjera osobnog poreznog stanja svih osoba čiji se podaci obrađuju neproporcionalna u odnosu na taj cilj.
Glavni carinski ured zahtijeva da se tužba odbije. On najprije ističe da je prosljeđivanje poreznih identifikacijskih brojeva nužno kako bi se omogućilo jasno utvrđivanje identiteta predmetnih osoba u okviru zahtjeva za pružanje informacija koji je podnio nadležnoj poreznoj upravi te da je razmjena informacija od slučaja do slučaja predviđena samo ako navedena uprava raspolaže podacima koji se odnose na teške i ponovljene povrede poreznog zakonodavstva, s obzirom na to da se ne uzimaju u obzir upravni postupci u kojima su izrečene novčane kazne ili kazneni postupci koji su obustavljeni te da se ponovljene povrede tog zakonodavstva uzimaju u obzir samo u slučaju ponavljanja koje je neproporcionalno u odnosu na prirodu i važnost gospodarske djelatnosti podnositelja zahtjeva za izdavanje odobrenja. On smatra da je krug osoba na koje se odnose postavljena pitanja u skladu s carinskim zakonodavstvom Unije.
Prema mišljenju suda koji je uputio zahtjev, odluka u glavnom postupku ovisi o tumačenju članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 u vezi s člankom 8. Povelje Europske unije o temeljnim pravima i Uredbom 2016/679 s obzirom na to da porezni identifikacijski brojevi osoba čiji se podaci obrađuju i podaci o poreznim upravama koje su za njih nadležne čine osobne podatke.
S jedne strane, on se pita čini li prosljeđivanje takvih podataka zakonitu obradu u smislu Provedbene uredbe 2015/2447. S druge strane, on sumnja u nužnost pristupa osobnim podacima zaposlenika i članova nadzornog odbora društva Deutsche Post koji su prikupljeni u svrhu naplate poreza na dohodak u obliku poreza po odbitku na plaće.
Sud koji je uputio zahtjev smatra da osobni podaci tih zaposlenika nisu u izravnoj vezi s ocjenom pouzdanosti društva Deutsche Post s obzirom na odredbe carinskog prava te da nisu ni u kakvoj vezi s njegovom gospodarskom djelatnošću.
Sud koji je uputio zahtjev pita može li carinska uprava, s obzirom na članak 8. stavak 1. Povelje o temeljnim pravima i s obzirom na načelo proporcionalnosti, tražiti osobne podatke kao što su porezni identifikacijski broj osoba čiji se podaci obrađuju i podatke o poreznim upravama nadležnima za izračunavanje poreza na dohodak tih osoba. On ističe da članovi nadzornog odbora nisu navedeni u prilogu 6. Delegiranoj uredbi 2016/341 te da, poput voditelja odjela i menadžera u računovodstvu, nisu nadležni za rješavanje pitanja koja se odnose na carinsko zakonodavstvo.
U tim je okolnostima Finanzgericht Düsseldorf (Financijski sud u Düsseldorfu) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:
„Treba li članak 24. stavak 1. drugi podstavak Provedbene uredbe [2015/2447] tumačiti na način da se njime carinskim tijelima dopušta da od podnositelja zahtjeva traže da ih obavijesti o poreznim identifikacijskim brojevima koje je izdao njemački Savezni središnji porezni ured u svrhu naplate poreza na dohodak i o poreznim upravama nadležnima za razrez poreza na dohodak članova nadzornog odbora podnositelja zahtjeva, njegovih članova uprave, voditelja odjela, voditelja računovodstva, voditelja carinskog odjela kao i osoba odgovornih za carinska pitanja i osoba koje rješavaju carinske stvari?”
O prethodnom pitanju
Uvodna očitovanja
Kako bi se dao odgovor na postavljeno pitanje, zainteresirane se stranke, uz iznimku Europske komisije, pozivaju na Uredbu 2016/679, što čini i sud koji je uputio zahtjev.
U tom pogledu Komisija ističe da je – s obzirom na to da su se činjenice u glavnom postupku odvijale u travnju 2017. – za donošenje odluke u glavnom postupku mjerodavna Direktiva 95/46.
Međutim, s obzirom na deklaratornu prirodu tužbe pred nacionalnim sudom (
Feststellungsklage
), nije isključeno da je ta uredba primjenjiva
ratione temporis
za donošenje odluke u glavnom postupku, jer ta dvojba nije razjašnjena na raspravi.
Stoga na postavljeno pitanje treba odgovoriti kako s obzirom na Direktivu 95/46 tako i s obzirom na Uredbu 2016/679.
Meritum
Svojim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 u vezi s Direktivom 95/46 i Uredbom 2016/679 tumačiti na način da je carinskim tijelima dopušteno zahtijevati od podnositelja zahtjeva za status AEO‑a da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu naplate poreza na dohodak koji se odnose na članove nadzornog odbora i članove uprave, voditelje odjela, voditelje računovodstva, voditelje carinskog odjela, uključujući osobe odgovorne za carinska pitanja i osobe koje rješavaju carinske stvari, kao i podatke o poreznim upravama koje su nadležne za sve te osobe.
Kao prvo, valja istaknuti da članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 predviđa da se, ako podnositelj zahtjeva za status AEO‑a nije fizička osoba, smatra da je kriterij iz članka 39. točke (a) Zakonika ispunjen ako u protekle tri godine nijedna od u njemu navedenih osoba nije počinila nikakvu tešku povredu ili ponovljene povrede carinskog zakonodavstva i poreznih pravila ili teška kaznena djela povezana s njihovom gospodarskom djelatnošću.
Riječ je samo o podnositelju zahtjeva, osobi koja je nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i o zaposleniku nadležnom za carinska pitanja podnositelja zahtjeva. Čitajući tu odredbu stječe se dojam da je taj popis taksativan.
Stoga se ne može prihvatiti da se članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 može tumačiti na način da se odnosi na fizičke osobe različite od onih koje su nadležne za podnositelja zahtjeva, koje provode kontrolu nad njegovim upravljanjem ili koje su nadležne za njegova carinska pitanja. Tako se ta odredba ne odnosi na članove savjetodavnih i nadzornih odbora pravne osobe, voditelje odjela, uz iznimku onih koji su nadležni za carinska pitanja podnositelja zahtjeva, voditelje računovodstva i osobe nadležne za carinska pitanja.
Kad je riječ o članovima uprave, oni moraju poštovati zahtjeve iz navedene odredbe ako ih se, u situaciji poput one o kojoj je riječ u glavnom postupku, može smatrati nadležnima za podnositelja zahtjeva ili se može smatrati da provode kontrolu nad njegovim upravljanjem.
Doduše, Delegirana uredba 2016/341 u točki 19. objašnjenja sadržanih u njezinu prilogu 6. predviđa da podnositelj zahtjeva za status AEO‑a podnosi nazive i položaje s popisa fizičkih osoba koji je širi od onog iz članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 u obliku priloga obrascu zahtjeva za taj status.
Međutim, u tom je pogledu dovoljno utvrditi da se Delegiranu uredbu 2016/341 ne može tumačiti na način da je njezin predmet ili učinak stavljanje izvan snage članka 41. prvog stavka Carinskog zakonika u skladu s kojim Komisija provedbenim aktima donosi načine za primjenu kriterija iz članka 39. tog zakonika koje treba ispitati kako bi se utvrdilo može li se podnositelju zahtjeva dodijeliti status AEO‑a.
Stoga, Delegirana uredba 2016/341 ne utječe na doseg članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447.
Usto, okolnost da se tom odredbom poštovanju zahtjeva koje predviđa podvrgavaju „osoba” nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i „zaposlenik” nadležan za carinska pitanja podnositelja zahtjeva ne može dovesti do toga da se smatra da se ti zahtjevi odnose na samo jednu osobu koja je nadležna za podnositelja zahtjeva ili koja provodi kontrolu nad njegovim upravljanjem i na samo jednog zaposlenika koji je nadležan za njegova carinska pitanja.
Naime, ne može se isključiti da je unutar organizacije društva nekoliko fizičkih osoba istodobno nadležno za njega ili da one zajedno provode kontrolu nad njegovim upravljanjem te da je nekoliko drugih fizičkih osoba nadležno za njegova carinska pitanja, osobito na teritorijalnoj osnovi.
Posljedično, fizičke osobe iz članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 su sve one osobe koje su, unutar organizacije podnositelja zahtjeva, nadležne za njega ili koje provode kontrolu nad njegovim upravljanjem, kao i osobe koje su nadležne za njegova carinska pitanja.
Kao drugo, kako bi carinska tijela mogla odgovoriti na zahtjev za dobivanje statusa AEO‑a, ta odredba podrazumijeva da im je dopušten pristup podacima kojima se omogućuje utvrđivanje toga da nijedna od fizičkih osoba navedenih u toj odredbi nije počinila tešku povredu ili ponovljene povrede carinskog zakonodavstva ili poreznih odredbi niti je osuđena za tešku kaznenu povredu povezanu s njezinom gospodarskom djelatnošću.
U ovome slučaju njemačka carinska tijela traže dostavu poreznih identifikacijskih brojeva fizičkih osoba navedenih u točki 50. ove presude i podatke o poreznim upravama koje su nadležne za te osobe.
U takvoj je situaciji, ako praksa tih tijela podrazumijeva obradu osobnih podataka u smislu članka 2. točke (a) Direktive 95/46 ili članka 4. stavka 2. Uredbe 2016/679, važno da se poštuje propis Unije koji se odnosi na zaštitu tih podataka.
U tom pogledu taj propis podrazumijeva da se pravo na poštovanje privatnog života s obzirom na obradu osobnih podataka odnosi na svaku informaciju o fizičkoj osobi čiji identitet je utvrđen ili se može utvrditi (vidjeti, u tom smislu, presude od 9. studenoga 2010., Volker und Markus Schecke i Eifert,
C‑92/09 i C‑93/09
,
EU:C:2010:662
, t.
52.
i od 17. listopada 2013., Schwarz,
C‑291/12
,
EU:C:2013:670
, t.
26.
).
Iz sudske prakse Suda također proizlazi da su porezni podaci „osobni podaci” u smislu članka 2. točke (a) Direktive 95/46 (vidjeti, u tom smislu presude od 1. listopada 2015., Bara i dr.,
C‑201/14
,
EU:C:2015:638
, t.
29.
kao i od 27. rujna 2017., Puškár,
C‑73/16
,
EU:C:2017:725
, t.
41.
).
Porezni identifikacijski broj po svojoj je prirodi porezni podatak koji se odnosi na fizičku osobu čiji je identitet utvrđen ili se može utvrditi i prema tome je osobni podatak. Osim toga, zbog veze koju su carinska tijela uspostavila između poreznog identifikacijskog broja osobe čiji je identitet precizno utvrđen i informacije koja se odnosi na poreznu upravu koja je nadležna za takvu osobu, tu se informaciju također treba smatrati osobnim podatkom.
Svaka obrada osobnih podataka mora, s jedne strane, biti usklađena s načelima o kvaliteti podataka navedenima u članku 6. Direktive 95/46 ili u članku 5. Uredbe 2016/679 i, s druge strane, odgovarati jednom od načela zakonitosti obrade podataka navedenih u članku 7. te direktive ili u članku 6. te uredbe (vidjeti, u tom smislu, presude od 20. svibnja 2003., Österreichischer Rundfunk i dr.,
C‑465/00, C‑138/01 i C‑139/01
,
EU:C:2003:294
, t.
65.
i od 13. svibnja 2014., Google Spain i Google,
C‑131/12
,
EU:C:2014:317
, t.
71.
).
Preciznije, osobni podaci moraju se, na temelju članka 6. stavka 1. točaka (b) i (c) Direktive 95/46 ili članka 5. stavka 1. točaka (b) i (c) Uredbe 2016/679, prikupljati u posebne, izričite i zakonite svrhe, kao i svrhe koje su primjerene, relevantne i ograničene na ono što je nužno za postizanje navedenih ciljeva s obzirom na to da je, u skladu s člankom 7. točkom (c) te direktive ili člankom 6. stavkom 1. točkom (c) te uredbe njihova obrada zakonita ako je nužna radi poštovanja pravnih obveza voditelja obrade.
Usto, valja podsjetiti da zahtjev za poštenu obradu osobnih podataka predviđen u članku 6. Direktive 95/46 odnosno u članku 5. Uredbe 2016/679 propisuje obvezu obavještavanja dotičnih osoba o tome da carinska tijela prikupljaju te podatke u svrhu njihove kasnije obrade (vidjeti, u tom smislu, presudu od 1. listopada 2015., Bara i dr.,
C‑201/14
,
EU:C:2015:638
, t.
34.
).
Kad je riječ o situaciji u glavnom postupku, s jedne strane čini se da je porezne identifikacijske brojeve fizičkih osoba prvo prikupljao njihov poslodavac kako bi se osiguralo poštovanje propisa koji se odnosi na porez na dohodak i, preciznije, obveze potonjeg da u obliku poreza po odbitku naplaćuje porez koji se izračunava s obzirom na primitke od plaćenog rada svake od tih fizičkih osoba.
S druge strane, čini se nužnim da carinska tijela kasnije prikupljaju te osobne podatke u svrhu donošenja odluke o zahtjevu za status AEO‑a radi poštovanja pravne obveze kojoj podliježu na temelju članka 24. stavka 1. drugog podstavka Provedbene uredbe 2015/2447 i uvjeta koje propisuje za dodjelu tog statusa. U toj se mjeri, navedeni podaci prikupljaju i stoga obrađuju u posebne, izričite i zakonite svrhe.
Isto vrijedi kad je riječ o tome da carinska tijela prikupljaju podatke o poreznim upravama nadležnima za razrez poreza na dohodak navedenih fizičkih osoba s obzirom na to da je svrha takvog prikupljanja također omogućiti tim tijelima da odgovore na zahtjev za status AEO‑a.
Stoga je potrebno da su, u situaciji poput one o kojoj je riječ u glavnom postupku, podaci koje su carinska tijela prikupila u svrhu razreza poreza na dohodak, odnosno porezni identifikacijski brojevi i podaci o poreznim upravama koje su nadležne za te osobe, kao što i proizlazi iz točke 58. ove presude, primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se prikupljaju ti osobni podaci.
Kao što je to naveo nezavisni odvjetnik u točki 66. svojeg mišljenja, dodijeliti status AEO‑a operatoru za carinska tijela činjenično je jednako potonjemu dodijeliti dio funkcija kontrole nad carinskim propisima. Stoga je prije dodjele tog statusa važno da ta tijela raspolažu podacima o pouzdanosti podnositelja zahtjeva za navedeni status u pogledu poštovanja carinskih propisa i o pouzdanosti fizičkih osoba navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 kad je riječ o njihovu poštovanju carinskog zakonodavstva i poreznih odredbi koje se na njih odnose.
Stoga je prikupljanje poreznih identifikacijskih brojeva samo od onih fizičkih osoba navedenih u tom članku, kao i podataka o poreznim upravama koje su za njih nadležne, primjerena i relevantna mjera kako bi se carinskim tijelima omogućilo da provjere je li jednu od povreda iz navedenog članka počinio netko od njih.
Osim toga, čini se da su osobni podaci koje su ta tijela tako prikupila ograničeni na ono što je nužno za postizanje svrhe navedene u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 kad je riječ o podacima kojima je pristup ograničen, a koji sami po sebi carinskim tijelima ne otkrivaju povjerljive podatke o osobnoj situaciji, poput bračnog stanja ili vjerske pripadnosti ili o dohotku fizičkih osoba na koje se odnose.
Iako, kao što to ističe sud koji je uputio zahtjev, prikupljanje poreznih identifikacijskih brojeva fizičkih osoba navedenih u tom članku i podataka o poreznim upravama koje su za njih nadležne carinskim tijelima načelno omogućuje pristup osobnim podacima koji nisu ni u kakvoj vezi s gospodarskom djelatnošću podnositelja zahtjeva za status AEO‑a, valja ustanoviti da se povrede poreznih odredbi navedene u tom članku ne ograničavaju na one povezane s gospodarskom djelatnošću podnositelja zahtjeva za status AEO‑a.
U tom pogledu, čini se opravdanim da te vlasti prije dodjele takvog statusa podnositelju zahtjeva, čime se na njega, kao što i proizlazi iz točke 64. ove presude, prenose ovlasti carinskih tijela, provjere ne samo poštuje li on carinsko zakonodavstvo nego također jesu li fizičke osobe navedene u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 s obzirom na njihovu razinu odgovornosti u organizacijskoj strukturi tog podnositelja zahtjeva počinile tešku povredu ili ponovljene povrede tog zakonodavstva ili poreznih odredbi, neovisno o tomu jesu li te povrede povezane s gospodarskom djelatnošću navedenog podnositelja zahtjeva.
Posljedično, carinska tijela smiju prikupljati porezne identifikacijske brojeve fizičkih osoba taksativno navedenih u članku 24. stavku 1. drugom podstavku Provedbene uredbe 2015/2447 i podatke o poreznim upravama koje su nadležne za te osobe samo ako im ti podaci omogućuju dobivanje informacija koje se odnose na teške ili ponovljene povrede carinskog zakonodavstva, poreznih odredbi ili teške kaznene povrede koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.
S obzirom na prethodno navedena razmatranja, na postavljeno pitanje valja odgovoriti tako da članak 24. stavak 1. drugi podstavak Provedbene uredbe 2015/2447 u vezi s Direktivom 95/46 i Uredbom 2016/679 treba tumačiti na način da carinska tijela od podnositelja zahtjeva za status AEO‑a mogu tražiti da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu razreza poreza na dohodak fizičkih osoba koje su odgovorne za podnositelja zahtjeva ili koje provode kontrolu nad njegovim upravljanjem te osoba nadležnih za njegova carinska pitanja, kao i podatke o poreznim upravama nadležnima za te osobe pod uvjetom da ti podaci tim tijelima omogućuju dobivanje informacija o teškim ili ponovljenim povredama carinskog zakonodavstva, poreznih odredbi ili teškim kaznenim povredama koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.
Troškovi
Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (treće vijeće) odlučuje:

Članak 24. stavak 1. drugi podstavak Provedbene uredbe Komisije (EU) 2015/2447 od 24. studenoga 2015. o utvrđivanju detaljnih pravila za provedbu određenih odredbi Uredbe (EU) br. 952/2013 Europskog parlamenta i Vijeća o Carinskom zakoniku Unije u vezi s Direktivom 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka i s Uredbom (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da carinska tijela od podnositelja zahtjeva za status ovlaštenog gospodarskog subjekta mogu tražiti da im dostavi porezne identifikacijske brojeve dodijeljene u svrhu razreza poreza na dohodak fizičkih osoba koje su odgovorne za podnositelja zahtjeva ili koje provode kontrolu nad njegovim upravljanjem te osoba nadležnih za njegova carinska pitanja, kao i podatke o poreznim upravama nadležnima za te osobe pod uvjetom da ti podaci tim tijelima omogućuju dobivanje informacija o teškim ili ponovljenim povredama carinskog zakonodavstva, poreznih odredbi ili teškim kaznenim povredama koje su te fizičke osobe počinile u vezi sa svojom gospodarskom djelatnošću.

Potpisi
(
*1
)	Jezik postupka: njemački