FÖRSLAG TILL AVGÖRANDE AV GENERALADVOKAT
MANUEL CAMPOS SÁNCHEZ-BORDONA
föredraget den 17 oktober 2018(1)
Mål C‑496/17
Deutsche Post AG
mot
Hauptzollamt Köln
(begäran om förhandsavgörande från Finanzgericht Düsseldorf (skattedomstol i Düsseldorf, Tyskland))
”Begäran om förhandsavgörande – Personers rättigheter och skyldigheter med avseende på tullagstiftningen – Status som godkänd ekonomisk aktör – Frågeformulär – Skydd av personuppgifter – Skatteidentifieringsnummer – Skattekontor som är behörigt att fastställa inkomstskatt – Behandling av uppgifter som är nödvändig för att fullgöra en rättslig förpliktelse – Principen om ändamålsbegränsning för behandlingen av personuppgifter”
1.        Den tyska tullmyndigheten efterfrågar vissa personuppgifter rörande personer i ledningen och anställda i företag som vill beviljas eller behålla status som godkänd ekonomisk aktör, vilket innebär att de får en förmånligare behandling än övriga importörer eller exportörer.
2.        Tolkningsfrågan handlar om de gränser som unionsrätten föreskriver för dessa efterfrågningar, antingen inom det rent tullrättsliga området eller inom området skydd av personuppgifter.
I.      Tillämpliga bestämmelser
A.      Unionsrätten
1.      Tullbestämmelser
a)      Tullkodexen
3.        I artikel 38 i förordning nr 952/2013(2) föreskrivs följande:
”1.      En ekonomisk aktör som är etablerad i unionens tullområde och uppfyller kriterierna i artikel 39 får ansöka om status som godkänd ekonomisk aktör.
…
2.      Status som godkänd ekonomisk aktör ska beviljas genom följande typer av tillstånd:
a)      Tillstånd som godkänd ekonomisk aktör för tullförenklingar, vilket ska göra det möjligt för innehavaren att åtnjuta vissa förenklingar i enlighet med tullagstiftningen.
b)      Tillstånd som godkänd ekonomisk aktör för säkerhet och skydd, vilket ska ge innehavaren rätt till lättnader i fråga om säkerhet och skydd.
…”
4.        I artikel 39 a föreskrivs följande:
”Kriterierna för att bevilja status som ’godkänd ekonomisk aktör’ ska innefatta följande:
a)      Frånvaro av alla former av allvarliga överträdelser eller upprepade överträdelser av tullagstiftningen och skattereglerna, inbegripet att den sökande inte får vara dömd för allvarliga brott som rör hans eller hennes ekonomiska verksamhet.
…”
b)      Genomförandeförordning (EU) 2015/2447(3)
5.        I artikel 24.1 föreskrivs följande:
”…
När den sökande inte är en fysisk person ska kriteriet i artikel 39 a i kodexen anses vara uppfyllt om ingen av nedanstående personer under de tre senaste åren har begått några allvarliga eller upprepade överträdelser av tullagstiftningen och skattereglerna och inte heller har dömts för några allvarliga brott som rör deras ekonomiska verksamhet:
a)      Den sökande.
b)      Den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning.
c)      Den anställde som har hand om den sökandes tullfrågor.”
c)      Delegerad förordning (EU) 2016/341(4)
6.        I artikel 1 föreskrivs följande:
”1.      I denna förordning anges övergångsregler för de metoder för utbyte och lagring av uppgifter som avses i artikel 278 i kodexen till dess att de elektroniska system som krävs för tillämpning av kodexens bestämmelser är i funktion.
2.      I bilagorna till denna förordning anges de uppgiftskrav, format och koder som ska tillämpas under de övergångsperioder som anges i den här förordningen, delegerad förordning (EU) 2015/2446 och genomförandeförordning (EU) 2015/2447.”
7.        I artikel 5 föreskrivs följande:
”1.      Till den dag då det system för godkända ekonomiska aktörer som avses i bilagan till genomförandebeslut 2014/255/EU uppgraderas, får tullmyndigheterna tillåta att andra metoder än elektronisk databehandlingsteknik används för ansökningar och beslut som avser godkända ekonomiska aktörer eller för alla påföljande händelser som kan inverka på en ursprunglig ansökan eller ett ursprungligt beslut.
2.      I de fall som avses i punkt 1 ska följande gälla:
a)      Ansökningar om status som godkänd ekonomisk aktör ska inges på det formulär som beskrivs i bilaga 6.
b)      Tillstånd till status som godkänd ekonomisk aktör ska utfärdas på det formulär som beskrivs i bilaga 7.”
8.        Punkt 19 i de förklarande anmärkningarna i bilaga 6 handlar om innehållet i formuläret för ansökan om status som godkänd ekonomisk aktör:
”Namnförtydligande, datum och den sökandes underskrift:
Underskrift ange även befattning. Den som undertecknar bör alltid vara den person som företräder den sökande som helhet.
Namnförtydligande: den sökandes namn och stämpel.
…
8.      Namn på personer i ledningen (verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen osv.). Beskrivning av gängse rutiner i situationer där den behöriga anställda inte är närvarande, tillfälligt eller permanent.
9.      Namn på och befattning för de personer inom den sökandes organisation som är särskilt insatta i tullfrågor. Bedömning av dessa personers kunskap om IT-användning när det gäller tullprocesser, affärstransaktioner och allmänna handelsrelaterade frågor.
…”
2.      Dataskyddsbestämmelser: Förordning (EU) nr 2016/679(5)
9.        Artikel 4 har följande lydelse:
”I denna förordning avses med
1)      personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2)      behandling: en åtgärd eller kombination av åtgärder som utförs beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om det sker automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…”
10.      I artikel 5 föreskrivs följande:
”Vid behandling av personuppgifter ska följande gälla:
a)      Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
b)      De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning).
c)      De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
…”
11.      Artikel 6 har följande lydelse:
”1.      Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:
a)      Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.
…
c)      Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.
…
e)      Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.
…
2.      Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.
3.      Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med
a)      unionsrätten, eller
b)      en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. … Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.
4.      Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:
a)      Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.
b)      Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.
c)      Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10.
d)      Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.
e)      Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”
12.      Artikel 23.1 e har följande lydelse:
”Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa
…
e)      andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet.”
B.      Nationell rätt
1.      Abgabeordnung (skattelagen)
13.      I den version som är tillämplig på de faktiska omständigheterna i målet föreskrivs följande i 139a § stycke 1:
”Den centrala tyska skattemyndigheten (Bundeszentralamt für Steuern) tilldelar varje skattskyldig person en enhetlig och permanent referens (identifieringsreferens). Denna referens ska anges av den skattskyldige eller av en tredje man som överför uppgifter om denna skattskyldiga person till skattekontoren vid ansökningar, förklaringar eller meddelanden till skattekontoren. Den består av en siffersekvens som inte får bildas av eller härledas från andra uppgifter om den skattskyldige. Den sista siffran utgör en kontrollsiffra …”
14.      139b § har följande lydelse:
”(1)      En fysisk person får inte erhålla mer än ett identifieringsnummer …
(2)      Skattekontoren får endast samla in och använda identifieringsnumret såvitt detta är nödvändigt för att uppfylla deras uppgifter enligt lag eller om det föreligger en lagbestämmelse enligt vilken insamling och användning av identifieringsnumret uttryckligen är tillåten eller påkallad. Andra offentliga myndigheter eller privata parter får
1.      endast samla in eller använda identifieringsnumret såvitt detta är nödvändigt för överföring av uppgifter mellan dem och skattemyndigheten eller om det föreligger en lagbestämmelse enligt vilken insamling och användning av identifieringsnumret uttryckligen är tillåten eller påkallad,
…
3.      använda ett lagenligt insamlat identifieringsnummer från en skattskyldig för att fullgöra samtliga rapporteringskrav gentemot skattemyndigheten, såvitt rapporteringskravet avser samma skattskyldige och insamling och användning är tillåten enligt punkt 1 …
(3)      Den centrala skattemyndigheten ska lagra följande uppgifter avseende fysiska personer:
1.      Identifieringsnummer,
…
3.      efternamn,
4.      tidigare namn,
5.      förnamn,
6.      doktorstitel,
…
8.      födelsedatum och födelseort,
9.      kön,
10.      nuvarande eller senast kända adress,
11.      behörigt skattekontor,
12.      skyddade personuppgifter enligt Bundesmeldegesetz [den federala registreringslagen],
13.      dödsdatum,
14.      datum för in- och utflyttning.
(4)      De uppgifter som anges i tredje stycket lagras för att
1.      säkerställa att en person endast erhåller ett identifieringsnummer och att ett identifieringsnummer inte tilldelas flera gånger,
2.      fastställa en skattskyldigs identifieringsnummer,
3.      avgöra vilket skattekontor som är behörigt för en skattskyldig,
4.      uppgifter som på grund av lag eller enligt över- och mellanstatlig lagstiftning ska tas emot ska kunna vidarebefordras till de behöriga myndigheterna,
5.      göra det möjligt för skattekontoren att uppfylla de uppgifter som de har ålagts enligt lag.”
2.      Einkommensteuergesetz (inkomstskattelagen)
15.      I 38 § stycke 1 och 3, i den version som var tillämplig vid tidpunkten för de faktiska omständigheterna, föreskrivs följande:
”(1)      Vid inkomster på grund av tjänst ska inkomstskatten dras av från lönen (skatt på inkomst av tjänst), i den mån lön betalas av en arbetsgivare …
…
(3)      Arbetsgivaren ska innehålla inkomstskatten för arbetstagarens räkning vid varje löneutbetalning …”
16.      I 39 § stycke 1 och 4 föreskrivs följande:
”(1)      Vid genomförande av avdraget av inkomstskatten ska rekvisit för inkomstskatteavdraget fastställas på arbetsgivarens initiativ …
…
(4)      Rekvisiten för inkomstskatteavdrag är följande:
1.      Skatteklass
2.      Antalet barn för vilka skatteavdrag får göras i skatteklasserna I till IV.
…”.
17.      39e § har följande lydelse:
”(1)      Den centrala skattemyndigheten fastställer i princip automatiskt skatteklass för varje arbetstagare och skatteavdrag för de barn som ska beaktas vid skatteklasserna I till IV … som rekvisit för avdrag för skatt på inkomst av tjänst (39 § stycke 4 första meningen punkterna 1 och 2) … Såvitt skattekontoren fastställer rekvisit för avdrag för skatt på inkomst av tjänst enligt 39 § ska de meddela detta till den centrala skattemyndigheten i syfte att tillgängliggöra dem för automatisk sökning från arbetsgivaren …
(2)      Den centrala skattemyndigheten lagrar rekvisit för avdrag för skatt på inkomst av tjänst i syfte att tillgängliggöra dem för automatisk sökning för arbetsgivaren med uppgift om identifieringsnummer. Dessutom ska följande uppgifter lagras för varje skattskyldig utöver de uppgifter som anges i 139b § stycke 3 Abgabenordning:
1.      tillhörighet till religiöst samfund som tar ut skatt samt datum för in- och utträde,
2.      civilstånd samt datum för ändring av civilståndet och för gifta personer maken eller makans identifieringsnummer,
3.      barn med deras identifieringsnummer …
…
(4)      Arbetstagaren ska när anställningsförhållandet påbörjas i syfte att möjliggöra en sökning av rekvisit för avdrag för skatt på inkomst av tjänst meddela samtliga arbetsgivare,
1.      identifieringsnumret samt födelsedatum …
…
Arbetsgivaren ska när anställningsförhållandet påbörjas söka arbetstagarens elektroniska rekvisit för avdrag för skatt på inkomst av tjänst vid den centrala skattemyndigheten och överföra dem till arbetstagarens lönekonto. …
…”
II.    Målet vid den nationella domstolen och tolkningsfrågan
18.      Deutsche Post innehade tullrättsliga tillstånd som bolaget beviljats på grundval av förordning (EEG) nr 2913/92(6) och förordning (EEG) nr 2454/93,(7) bland annat tillstånd som godkänd mottagare och som godkänd avsändare. Deutsche Post hade även beviljats en samlad garanti som förenkling i förfarandet för unions- respektive gemenskapstransitering samt, sedan tullkodexen blev fullt tillämplig, tillstånd för en anläggning för tillfällig lagring.
19.      Hauptzollamt bad genom skrivelse av den 19 april 2017 Deutsche Post att besvara det på internet tillgängliga frågeformuläret för självbedömning del I – information om företaget – innan den 19 maj 2017. Det formuläret innehöll bland annat följande frågor:
”1.1.2      Ange, om det är tillämpligt för företagets bolagsform,
…
c)      medlemmarna i styrelsen och rådgivande organ med förnamn, efternamn, födelsedatum, skatteidentifieringsnummer och behörigt skattekontor.
1.1.6      Ange namnen på personerna i ledningen (verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen och så vidare) och beskriv de aktuella reglerna för företrädande. Obligatoriska uppgifter är förnamn, efternamn, födelsedatum, skatteidentifieringsnummer och behörigt skattekontor.
…
1.3.1      Ange de personer som är ansvariga för tullärenden i er organisation eller de personer som hanterar tullfrågor (till exempel tullhandläggare, chefer för tullavdelningen) med uppgifter om förnamn, efternamn, födelsedatum, skatteidentifieringsnummer, behörigt skattekontor och ställning i organisationen.”
20.      Hauptzollamt underrättade Deutsche Post om att det vid underlåten medverkan inte skulle gå att fastställa om villkoren för tillståndet enligt tullkodexen var uppfyllda. Om Deutsche Post inte medverkade eller villkoren för tillståndet inte längre var uppfyllda skulle myndigheten återkalla de obegränsade tillstånden.
21.      Deutsche Post väckte talan vid den hänskjutande domstolen och invände mot skyldigheten att informera Hauptzollamt om skatteidentifieringsnummer och behörigt skattekontor för de personer som anges i formuläret för självbedömning. Deutsche Post yrkade att den hänskjutande domstolen skulle slå fast att bolaget inte har någon skyldighet att besvara den delen av formuläret.
22.      Som stöd för sin talan anförde Deutsche Post följande:
–      Frågorna berör ett mycket stort antal personer i företaget. Dessutom kan bolaget inte besvara frågorna av hänsyn till skyddet för personuppgifter. En del av bolagets anställda är inte beredda att godkänna en överföring av deras uppgifter. Den personkrets som anges i frågorna under 1.1.2 c, 1.1.6 och 1.3.1 går utöver den personkrets som anges i artikel 24.1 andra stycket b och c i genomförandeförordningen.
–      Vilken situation bolagets anställda befinner sig i med avseende på bestämmelserna om inkomstskatt saknar betydelse för bedömningen av frågan huruvida de har begått några allvarliga eller upprepade överträdelser av tullagstiftningen och skattereglerna och inte har dömts för några allvarliga brott som rör deras ekonomiska verksamhet. Det är varken lämpligt eller nödvändigt med en insamling av deras skatteidentifieringsnummer för att fastställa deras lämplighet i tullrättsligt hänseende.
23.      Hauptzollamt invände mot Deutsche Posts argument och anförde att efterfrågningen av skatteidentifieringsnummer är nödvändig för att entydigt kunna identifiera den aktuella personen inom ramen för en förfrågning till skattekontoren. Ett utbyte av information föreskrivs emellertid först om skattemyndigheten får kännedom om allvarliga eller upprepade överträdelser av skattereglerna. Därvid beaktas inte avslutade förfaranden för straffrättsliga eller administrativa sanktioner. Upprepade åsidosättanden av skatteregler beaktas endast vid en koncentration som inte står i rimlig proportion till arten eller omfattningen av sökandens affärsverksamhet.
24.      Enligt Hauptzollamt överensstämmer den personkrets som omfattas av frågorna med artikel 24.1 andra stycket i genomförandeförordningen och kommissionens riktlinjer för godkända ekonomiska aktörer. Det görs en riskbedömning i det enskilda fallet för att fastställa för vilka personer ett konkret utbyte av information med skattemyndigheten ska genomföras. Med avseende på de personer som hanterar tullfrågor, begränsas efterfrågningen vid större tullavdelningar till ledningen och ledande anställda.
25.      Finanzgericht Düsseldorf (skattedomstol i Düsseldorf, Tyskland) hyser tvivel om huruvida efterfrågningen av personuppgifter (i form av skatteidentifieringsnummer och uppgifter om vilket skattekontor som är behörigt att fastställa inkomstskatt med avseende på de personer som anges i punkterna 1.1.2 c, 1.1.6 och 1.3.1 i frågeformuläret), utgör en tillåten behandling av dessa uppgifter för bestämda ändamål i den mening som avses i dataskyddsförordningen och i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).
26.      Den hyser även tvivel om huruvida det är nödvändigt att beakta personuppgifter för arbetstagare och styrelsemedlemmar från klaganden som samlats in för uppbörd av inkomstskatt, eftersom de inte har någon direkt koppling till bedömningen av deras lämplighet i tullrättsligt hänseende eller till Deutsche Posts ekonomiska verksamhet.
27.      Mot denna bakgrund har den nationella domstolen hänskjutit följande fråga till EU-domstolen med begäran om förhandsavgörande:
”Ska artikel 24.1 andra stycket i kommissionens genomförandeförordning (EU) 2015/2447 av den 24 november 2015 om närmare regler för genomförande av vissa bestämmelser i Europaparlamentets och rådets förordning (EU) nr 952/2013 om fastställande av en tullkodex för unionen tolkas så, att tullmyndigheten får kräva att sökanden meddelar dels de skatteidentifieringsnummer som den centrala tyska skattemyndigheten (Bundeszentralamt für Steuern), med avseende på uppbörd av inkomstskatt, tilldelat sökandens styrelseledamöter samt de hos sökanden verksamma verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen, personer ansvariga för tullfrågor och personer som hanterar tullfrågor, dels vilka skattekontor som är behöriga att fastställa dessa personers inkomstskatt?”
28.      Skriftliga yttranden har getts in av Deutsche Post, Hauptzollamt, den spanska, den ungerska och den italienska regeringen, samt kommissionen. Vid förhandlingen den 5 juli 2018 medverkade Deutsche Post, Hauptzollamt och kommissionen.
III. Svar på tolkningsfrågan
29.      Innan en bedömning görs i sak, ska det klargöras vilka unionsrättsliga bestämmelser om personuppgiftsskydd som är tillämpliga i förevarande mål.
30.      Begäran om uppgifter skickades till Deutsche Post den 19 april 2017, således innan dataskyddsförordningen trädde i kraft (den 25 maj 2018). Vid den tidpunkten gällde fortfarande direktiv 95/46/EG,(8) men trots det har såväl den hänskjutande domstolen som parterna i detta mål om förhandsavgörande, med undantag av kommissionen, förutsatt att förordningen ska tillämpas.
31.      Förklaringen till denna skenbara anomali kan finnas i det ursprungliga nationella målets karaktär. Såsom framkom vid förhandlingen hade Deutsche Post inte väckt en talan om ogiltigförklaring (Anfechtungsklage) som domstolen skulle pröva enligt den lagstiftning som gällde vid tidpunkten för de faktiska omständigheterna, utan en fastställelsetalan (Feststellungsklage)(9) som skulle prövas mot bakgrund av den rättsliga situation som gällde vid tidpunkten för förhandlingen och domen.
32.      Det ankommer på den hänskjutande domstolen att tolka sin nationella lagstiftning och EU-domstolen uttalar sig inte om den. Det innebär att om den hänskjutande domstolen mot bakgrund av den nationella lagstiftningen finner att tvisten av tidsmässiga skäl ska prövas med tillämpning av dataskyddsförordningen och inte av direktiv 95/46, ska EU-domstolen tolka förordningen och inte direktivet.(10)
33.      Begäran om förhandsavgörande avser tolkningen, och inte en eventuell ogiltigförklaring, av artikel 24.1 i genomförandeförordningen, och för detta ska dataskyddsförordningen och artiklarna 7 och 8 i stadgan beaktas.(11) Den hänskjutande domstolen undrar som sagt inte huruvida den artikeln är ogiltig. I artikeln fastställs bara villkoren för att beviljas status som ”godkänd ekonomisk aktör” och den kräver inte i sig att personuppgifter överförs eller behandlas av en tredje part.
A.      Tolkningen av artikel 24 i genomförandeförordningen
34.      Status som godkänd ekonomisk aktör ger fördelar(12) för de ekonomiska aktörer som i samband med sina tullförfaranden anses pålitliga inom hela unionen (artikel 5.5 i tullkodexen). Enligt artikel 38.6 i tullkodexen ska de bland annat behandlas på ett mer förmånligt sätt än andra ekonomiska aktörer när det gäller tullkontroller. Beroende på vilken typ av tillstånd som beviljas underkastas en godkänd ekonomisk aktör färre fysiska och dokumentbaserade kontroller.
35.      Eftersom en godkänd ekonomisk aktörs pålitlighet och rykte ska kontrolleras, måste denne uppfylla de villkor som föreskrivs i artikel 39 i tullkodexen(13) för att beviljas sådan status. Dessa villkor är följande:
–      Efterlevnad av tullagstiftningen och skattereglerna, inbegripet att den sökande inte får vara dömd för allvarliga brott som rör hans eller hennes ekonomiska verksamhet.
–      Den sökandes uppvisande av en hög grad av kontroll över dennes transaktioner och av varuflödet, genom ett system för affärsbokföring och, vid behov, bokföring av transporter, som möjliggör lämpliga tullkontroller.
–      Erkänd ekonomisk solvens.
–      Beroende på vilken typ av status som godkänd ekonomisk aktör det gäller, tillfredsställande nivå vad gäller kunskaper eller yrkeskvalifikationer som direkt avser den verksamhet som utförs, eller godtagbara normer när det gäller säkerhet.
36.      Dessa villkor ska samtliga aktörer som ansöker om status som godkänd ekonomisk aktör uppfylla, oavsett om de är juridiska eller fysiska personer. Eftersom Deutsche Post är en juridisk person, omfattar i förevarande mål kravet att inte ha gjort sig skyldig till allvarliga överträdelser eller upprepade överträdelser av tullagstiftningen och skattereglerna och att inte vara dömd för allvarliga brott som rör dess ekonomiska verksamhet vissa av dess anställda (de som har de mest relevanta arbetsuppgifterna som därefter anges).(14) Detta föreskrivs i artikel 24 i genomförandeförordningen, vilken antagits med stöd av artikel 39 a i tullkodexen.(15)
37.      Dessa villkor omfattar enligt artikel 24 i genomförandeförordningen ”den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning” och ”den anställde som har hand om den sökandes tullfrågor”.(16)
38.      I artikel 24 i genomförandeförordningen anges de gränser som tullmyndigheterna inte får överskrida då de efterfrågar information om de personer som får utredas. Artikel 24 ska även iakttas när det gäller syftet med sammanställningen av uppgifter om dessa personer.
1.      Fysiska personer som får granskas innan en juridisk person beviljas status som godkänd ekonomisk aktör
39.      Logiken i artikel 24 i genomförandeförordningen är att tullmyndigheterna för att kunna bevilja(17) status som godkänd ekonomisk aktör, måste ha tillgång till vissa uppgifter om personerna i företagens ledning och om de fysiska personer som ansvarar för deras tullverksamhet.(18)
40.      Lydelsen av artikel 24 i genomförandeförordningen är restriktiv: där nämns enbart den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning och den anställde som har hand om den sökandes tullfrågor. I bestämmelsen används singularform, vilket innebär att den ska tolkas restriktivt. För detta talar även den omständigheten att informationen som lämnas utgörs av personuppgifter. En sekundärrättslig bestämmelse som är hierarkiskt underordnad artikel 24 i genomförandeförordningen, vilket är fallet med bilaga 6 i delegerad förordning 2016/341, kan inte utvidga den personkrets på vilken förordningen är tillämplig.
41.      Det innebär att tullmyndigheten bara får samla in personuppgifter om
–      den person som leder företaget som ansöker om status som godkänd ekonomisk aktör, vilket vanligtvis är den person som har exekutiva ledningsbefogenheter,(19) och
–      den anställde som ansvarar för företagets tullfrågor. Samma restriktiva tolkning är tillämplig här och den innebär att det bara får krävas personuppgifter för den person som är ytterst ansvarig för företagets tullverksamhet.
42.      Mot bakgrund av detta instämmer jag med den hänskjutande domstolens uppfattning. Den anser att ett krav på personuppgifter rörande ett företags styrelsemedlemmar eller medlemmar i rådgivande organ, saknar stöd i artikel 24 i genomförandeförordningen. I linje med detta kan den bestämmelsen inte heller ligga till grund för ett krav på uppgifter om chefer för andra avdelningar och redovisningschefer, såvida inte dessa personer även har den yttersta beslutanderätten i företaget eller har hand om dess tullfrågor.
2.      Information och uppgifter som tullmyndigheterna får kräva
43.      Enligt artikel 24 i genomförandeförordningen får det som sagt bara samlas in sådan information som är nödvändig för att kontrollera att det inte har begåtts några ”allvarliga eller upprepade överträdelser av tullagstiftningen och skattereglerna” och att personerna i fråga inte heller har dömts för några ”allvarliga brott som rör deras ekonomiska verksamhet”.
44.      Detta är således det enda syfte som tullmyndigheternas insamling av information får ha. I bestämmelsen anges det dock inte närmare vilken typ av uppgifter som är ägnade att uppnå syftet med den. Det ankommer på medlemsstaterna att fastställa dessa, under förutsättning att det endast rör sig om de uppgifter som är nödvändiga för att försäkra sig om att det inte har begåtts några handlingar som påverkar företagsledningens pålitlighet.
45.      För att pröva huruvida de ovannämnda anställda vid det företag som ansöker om status som godkänd ekonomisk aktör uppvisar den redbarhet som krävs för att åtnjuta tullmyndigheternas förtroende, nämns i artikel 24 i genomförandeförordningen tre kategorier av överträdelser:
–      ”Allvarliga eller upprepade överträdelser av tullagstiftningen.” Begreppet ”tullagstiftning” ska ges den betydelse som anges i artikel 5.2 i tullkodexen.(20) Eftersom det är just tullmyndigheterna som tillämpar denna lagstiftning, har de i princip själva redan tillgång till tillräckliga uppgifter. Hauptzollamt medger att den har direkt tillgång till de federala databaserna med information om överträdelser av tullagstiftningen eller om företagens ekonomiska verksamhet.
–      ”Allvarliga eller upprepade överträdelser av skattereglerna”, vilket kommissionen påpekar är ett begrepp som innefattar ett vitt spektrum av olika skatter.(21) När det gäller den sistnämnda kategorin ska tullmyndigheterna inhämta information från tredje part som är nödvändig för att försäkra sig om att de anställda vid det företag som ansöker om status som godkänd ekonomisk aktör inte har blivit straffade för sådana rättsstridiga handlingar.
–      ”Allvarliga brott som rör deras ekonomiska verksamhet”, vilket enligt kommissionen är ett begrepp som innefattar brott av det här slaget som har begåtts av någon av personerna i ledningen och som allvarligt skadar företagets rykte och heder med avseende på tullfrågor.(22) Även här rör det sig om överträdelser som tullmyndigheterna vanligtvis inte har uppgifter om i sina egna register.
46.      Vilka uppgifter får tullmyndigheterna enligt artikel 24 i genomförandeförordningen samla in för att uppdaga överträdelser då de prövar ansökningar om beviljande av status som godkänd ekonomisk aktör?
47.      Hauptzollamt har gjort gällande att den behöver få tillgång till skatteidentifieringsnummer och uppgifter om behörigt skattekontor för de chefer och anställda vid Deutsche Post som ansvarar för tullfrågor. Enligt Hauptzollamt är det bara på det sättet som myndigheten kan få reda på om dessa har gjort sig skyldiga till allvarliga eller upprepade överträdelser av skattelagstiftningen, eftersom många skatter handhas av de regionala myndigheterna i Tyskland. Skatteidentifieringsnumret är enligt Hauptzollamt den uppgift som ligger till grund för framställningar till de regionala myndigheterna om nödvändig information om dessa personer.
48.      Deutsche Post har däremot gjort gällande att den situation bolagets anställda befinner sig i med avseende på inkomstskatt saknar betydelse för bedömningen av huruvida de har begått några allvarliga eller upprepade överträdelser av skattereglerna. Det är enligt Deutsche Post varken lämpligt eller nödvändigt att samla in deras skatteidentifieringsnummer för att pröva deras pålitlighet i tullrättsligt hänseende.
49.      Av de skriftliga yttrandena och av de förklaringar som lämnades vid förhandlingen framgår att skatteidentifieringsnumret är en personlig identifieringsuppgift som används i kontakterna mellan fysiska personer och den tyska skattemyndigheten i olika sammanhang. Det råder enighet om att det främst används för uppbörden av inkomstskatten, vilket förklarar kopplingen i det nationella målet till de skattekontor som är behöriga att fastställa inkomstskatt.
50.      Det ankommer inte på EU-domstolen att tolka den tyska lagstiftningen utan på den hänskjutande domstolen. Den hänskjutande domstolen hävdar att de skatteidentifieringsnummer som den centrala tyska skattemyndigheten tilldelar Deutsche Posts anställda (139a § stycke 1 första meningen skattelagen) bara får samlas in och lagras för uppbörd av inkomstskatt, genom att göra avdrag från lönen för den skatten (39e § stycke 4 första meningen punkt 1 inkomstskattelagen).
51.      De personuppgifter för Deutsche Posts anställda som samlats in för det ovannämnda ändamålet, har enligt den hänskjutande domstolen inte någon direkt koppling till företagets ekonomiska verksamhet och de är därför inte relevanta för att bedöma deras pålitlighet i tullrättsligt hänseende.(23)
52.      Jag anser emellertid att det i tullrättsligt hänseende inte finns något som hindrar att de tyska myndigheterna efterfrågar skatteidentifieringsnummer (och uppgifter om vilket skattekontor som är behörigt för att fastställa inkomstskatten) för de personer som ingår i ledningen och de personer som ansvarar för tullfrågor i ett företag som ansöker om status som godkänd ekonomisk aktör. Med förbehåll för vad som nedan anges rörande skyddet av dessa personuppgifter, kan de användas för att kontrollera att de personerna inte har gjort sig skyldiga till några överträdelser.
53.      Den hänskjutande domstolens argument hade kunnat vara relevant om de uppgifter som kan inhämtas med hjälp av skatteidentifieringsnumret, och som måste avse varje fysisk person, hade varit frikopplade (vilket den hänskjutande domstolen tycks anse) från företagets verksamhet. Inhämtandet av dessa uppgifter handlar emellertid just om att kontrollera huruvida de två personer som har relevanta befattningar i det företag som ansöker om status som godkänd ekonomisk aktör, under de tre senaste åren själva (alltså inte företaget) har begått handlingar som minskar deras pålitlighet och som så att säga smittar av sig – om påföljder tidigare har ålagts – på det företag vars allmänna ledning och tullfrågor de ansvarar för.
B.      Artikel 24 i genomförandeförordningen och de unionsrättsliga bestämmelserna om skydd av personuppgifter
54.      Liksom andra motsvarande skatteuppgifter som domstolen har betecknat på det sättet(24) är skatteidentifieringsnumret en personuppgift i den mening som avses i artikel 4.1 i dataskyddsförordningen, eftersom det rör sig om upplysningar som avser en identifierad eller identifierbar person.(25)
55.      Uppgiften om vilket skattekontor som är behörigt att fastställa inkomstskatt för en viss person, framstår i beslutet att begära förhandsavgörande som nära knuten till skatteidentifieringsnumret till följd av det tyska skattesystemets federala uppbyggnad. Den kan i detta sammanhang, på ett underordnat sätt, betraktas som en skatteuppgift som avser en identifierad eller identifierbar person.
56.      Såsom den hänskjutande domstolen har påpekat gör en automatisk sökning på skatteidentifieringsnummer det möjligt att få tillgång till särskilt känsliga uppgifter.(26) Det är således ett instrument som myndigheterna förfogar över och som gör det möjligt att identifiera den person som tilldelats numret och få fram viss information om hans eller hennes privatliv och familjeliv.
57.      Den verksamhet som bedrivs kring skatteidentifieringsnumren i förbindelserna mellan tullmyndigheterna och de företag som ansöker om status som godkänd ekonomisk aktör, kan betecknas som insamling eller utlämning genom överföring. I båda fallen sker det en behandling av personuppgifter i den mening som avses i artikel 4.2 i dataskyddsförordningen. De tyska tullmyndigheterna begär in skatteidentifieringsnummer, strukturerar dem och använder dem för att begära information från de behöriga skattekontoren om huruvida dessa personer har begått allvarliga eller upprepade överträdelser av skattelagstiftningen. Enbart inhämtandet av dessa uppgifter innebär en behandling och det gör i än högre grad struktureringen och den efterföljande användningen av dem för att få information om personerna.(27)
58.      Domstolen har också slagit fast att det föreligger behandling av personuppgifter när uppgifter överförs från ett offentligt organ till ett annat(28) och även när en arbetsgivare skickar personuppgifter till en nationell myndighet.(29) Deutsche Posts överföring av personuppgifter rörande personer i ledningen och anställda till Hauptzollamt utgör således ”behandling av uppgifter” i den mening som avses i dataskyddsförordningen.
59.      Enligt artikel 5.1 b i dataskyddsförordningen är den styrande principen för behandling av personuppgifter att den endast får ske för vissa ändamål. Där anges att ”de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.”(30)
60.      Det är således nödvändigt att avgöra huruvida de tyska tullmyndigheternas användning av skatteidentifieringsnumren för personer i ledningen och personer som ansvarar för tullfrågor hos Deutsche Post, är förenlig med syftet med att samla in dessa personuppgifter enligt den nationella lagstiftningen.
61.      Den hänskjutande domstolen hyser tvivel rörande detta(31) och anser inte att det finns någon direkt koppling mellan skatteidentifieringsnumren och de skattekontor som är behöriga att fastställa inkomstskatten för personer i ledningen och anställda, å ena sidan, och Deutsche Posts tullverksamhet, å den andra. Såsom framkom vid förhandlingen och som jag har redogjort för tidigare, föreskrivs det i tysk rätt att dessa skatteuppgifter får användas, i första hand men inte uteslutande, i anställningsförhållandet mellan arbetsgivare och arbetstagare för uppbörd av inkomstskatt.
62.      Skatteidentifieringsnummer (och, på ett underordnat sätt, uppgifter om behöriga skattekontor för fastställande av inkomstskatt) är således personuppgifter som inte har varit avsedda att användas inom ramen för förbindelserna mellan ett företag och de tyska tullmyndigheterna för att beviljas eller bibehålla status som godkänd ekonomisk aktör. Det rör sig således om en behandling av personuppgifter som i princip inte sker för det ändamål för vilket de samlades in, vilket strider mot regeln i artikel 5.1 b i dataskyddsförordningen.
63.      En behandling av personuppgifter av det här slaget skulle dock i princip kunna vara motiverad. Det är till exempel tillräckligt att de berörda fysiska personerna lämnar sitt samtycke, enligt artikel 6.1 a i dataskyddsförordningen. Av handlingarna i målet framgår emellertid att de anställda vid Deutsche Post motsätter sig behandlingen, vilket utesluter en sådan lösning.
64.      Andra situationer när det kan vara motiverat anges i artikel 6.1,(32) enligt vilken en behandling av personuppgifter är laglig om den är nödvändig ”för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige” (6.1 c) eller ”för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning” (6.1 e).(33) I båda fallen föreskrivs det i artikel 6.3 i dataskyddsförordningen att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
65.      Lagligheten av begäran och behandlingen av de personuppgifter som tullförvaltningen riktar till Deutsche Post, bygger på den rättsliga förpliktelse(34) som dessa myndigheter har att kontrollera att endast företag vars personer i ledningen och personer som ansvarar för tullfrågor inte har gjort sig skyldiga till de ovannämnda överträdelserna, beviljas status som godkänd ekonomisk aktör. Denna rättsliga förpliktelse bygger ytterst på artikel 24 i genomförandeförordningen. Jag anser således att den motivering som avses i artikel 6.1 c i dataskyddsförordningen gör sig gällande här.
66.      Behandlingen av skatteidentifieringsnummer för personer i ledningen och för den ansvariga personen för tullfrågor i ett företag, i samband med prövningen av en ansökan om status som godkänd ekonomisk aktör, kan även vara laglig på grund av att den utgör ”ett led i den personuppgiftsansvariges myndighetsutövning” (artikel 6.1 e i dataskyddsförordningen),(35) eftersom den är nödvändig för att tullmyndigheterna ska kunna utöva den offentliga makt som de har tilldelats för att kontrollera de företag som har status som godkänd ekonomisk aktör. Denna status innebär en viss delegering av tullkontrolluppgifter till de godkända ekonomiska aktörerna, vilken uppvägs av en omfattande befogenhet för tullmyndigheterna att kontrollera och övervaka aktörernas pålitlighet.
67.      Efterfrågningen och behandlingen av de uppgifter som tvisten avser, vilka är lagliga genom att de grundar sig på artikel 6.1. c och e, kan medföra vissa begränsningar av de rättigheter som artiklarna 12–22 i dataskyddsförordningen tillerkänner de personer som personuppgifterna avser. Det ankommer på den hänskjutande domstolen att avgöra huruvida Hauptzollamt då den behandlar dessa uppgifter, begränsar någon av de berörda personernas rättigheter, till exempel rätten till tillgång, rättelse eller radering eller rätten att göra invändningar.
68.      Sådana begränsningar, om de föreligger, skulle kunna motiveras av något av ”unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet” (artikel 23.1 c i dataskyddsförordningen). Den åtgärd genom vilka begränsningarna införs måste dessutom respektera ”andemeningen i de grundläggande rättigheterna och friheterna” och vara ”nödvändig och proportionell i ett demokratiskt samhälle”.(36)
69.      Jag anser att syftet att säkerställa att personerna i ledningen och den person som ansvarar för tullfrågor i ett företag är pålitliga i tullrättsligt hänseende, för att bevilja företaget status som godkänd ekonomisk aktör, är ett mål av generellt allmänt intresse för unionen och för den tyska staten i ekonomiskt hänseende eller i budget- eller skattehänseende. En kontroll av de godkända ekonomiska aktörernas pålitlighet gynnar uppbörden av de tullar, vilka utgör unionens egna medel, som medlemsstaterna betalar in och överför till unionens budget, efter avdrag av en procentuell andel för den administrativa förvaltningen.
70.      Bristande redbarhet hos personerna i företagets ledning och hos den person som ansvarar för tullfrågor, är faktorer som kan påverka företagets pålitlighet i tullrättsligt hänseende, vilket indirekt påverkar möjligheten att beviljas status som godkänd ekonomisk aktör.(37) Som jag påpekade i mitt förslag till avgörande i målet Impresa di Costruzioni Ing. E. Mantovani och Guerrato,(38) är det logiskt att företagets pålitlighet bedöms mot bakgrund av de brottsliga handlingar som har begåtts av personer som ansvarar för dess ledning.
71.      Denna omständighet innebär att tullförvaltningen får granska företagsledningens skattehistorik, vilket innefattar deras historik avseende inkomstskatt. Om personer i företagets ledning eller den person som ansvarar för tullfrågor där har gjort sig skyldiga till överträdelser rörande uppbörden av sådan, eller någon annan, skatt, anser jag att tullmyndigheterna ska kunna inhämta information om dessa.
72.      I enlighet med detta är sammanställning och användning av sådana uppgifter medel som är proportionella mot det mål som föreskrivs i artikel 24.1 i genomförandeförordningen.(39) Enligt de uppgifter som den centrala skattemyndigheten lämnade vid förhandlingen finns det i den tyska lagstiftningen inte några andra alternativa åtgärder som är mindre ingripande, eftersom den tyska statens federala uppbyggnad medför att vissa skatter, till exempel inkomstskatten, handhas av de regionala myndigheterna. Skatteidentifieringsnumret är det medel som är mest lämpat för att (de federala) tullmyndigheterna ska kunna inhämta skatteuppgifter från flera olika regionala myndigheter.(40)
73.      Två preciseringar bör göras.
–      Enligt artiklarna 13 och 14 i dataskyddsförordningen är tullförvaltningen skyldig att informera personerna i ledningen och den person som ansvarar för tullfrågor i ett företag som har status som godkänd ekonomisk aktör om den behandling som den kommer att göra av deras personuppgifter (skatteidentifieringsnummer och skattekontor), för att de ska kunna utöva de rättigheter som de har enligt artiklarna 15–22 i dataskyddsförordningen.
–      Domstolen har slagit fast att kravet att behandla personuppgifter korrekt, förpliktar en myndighet att upplysa de personer som berörs av överföringen av dessa uppgifter om att uppgifterna har överförts till en annan myndighet för att behandlas av denna i dess egenskap av mottagare av nämnda uppgifter.(41)
IV.    Förslag till avgörande
74.      Mot bakgrund av vad som ovan anförts föreslår jag att domstolen besvarar tolkningsfrågan från Finanzgericht Düsseldorf (skattedomstol i Düsseldorf, Tyskland) på följande vis:
1)      Artikel 24.1 andra stycket i kommissionens genomförandeförordning (EU) 2015/2447 av den 24 november 2015 om närmare regler för genomförande av vissa bestämmelser i Europaparlamentets och rådets förordning (EU) nr 952/2013 om fastställande av en tullkodex för unionen ska tolkas så,
–        att tullmyndigheterna får kräva att ett företag som ansöker om status som godkänd ekonomisk aktör meddelar skatteidentifieringsnummer och vilket skattekontor som är behörigt att fastställa inkomstskatten, enbart med avseende på ”den person som leder den sökandes verksamhet eller utövar kontroll över dess ledning” och ”den anställde som har hand om den sökandes tullfrågor”, och
–        den medger inte att kravet på att meddela dessa uppgifter utsträcks till att omfatta sökandens styrelseledamöter eller andra chefer och anställda hos sökanden.
2)      Artikel 6.1 c och e i Europaparlamentets och rådets förordning (EU) nr 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, medger att en tullmyndighet samlar in och behandlar personuppgifter som skatteidentifieringsnummer och uppgifter om vilket skattekontor som är behörigt att fastställa inkomstskatten för den ansvariga personen i ledningen och för den person som ansvarar för tullfrågor i ett företag som vill beviljas status som godkänd ekonomisk aktör, även om de inte lämnat sitt samtycke, för att fullgöra sin rättsliga förpliktelse att kontrollera företagets pålitlighet i tullrättsligt hänseende i enlighet med artikel 24.1 andra stycket i genomförandeförordning nr 2015/2447.
1      Originalspråk: spanska.
2      Europaparlamentets och rådets förordning (EU) av den 9 oktober 2013 om fastställande av en tullkodex för unionen (EUT L 269, 2013, s. 1) (nedan kallad tullkodexen).
3      Kommissionens förordning av den 24 november 2015 om närmare regler för genomförande av vissa bestämmelser i Europaparlamentets och rådets förordning (EU) nr 952/2013 om fastställande av en tullkodex för unionen (EUT L 343, 2015, s. 558) (nedan kallad genomförandeförordningen).
4      Kommissionens förordning av den 17 december 2015 om komplettering av Europaparlamentets och rådets förordning (EU) nr 952/2013 vad gäller övergångsregler för vissa bestämmelser i unionens tullkodex i de fall de relevanta elektroniska systemen ännu inte är i funktion, och om ändring av kommissionens delegerade förordning (EU) 2015/2446 (EUT L 69, 2016, s. 1).
5      Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46 (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
6      Rådets förordning av den 12 oktober 1992 om inrättandet av en tullkodex för gemenskapen (EGT L 302, 1992, s. 1; svensk specialutgåva område 2, volym 16, s. 4).
7      Kommissionens förordning av den 2 juli 1993 om tillämpningsföreskrifter för rådets förordning (EEG) nr 2913/92 (EGT L 253, 1993, s. 1; svensk specialutgåva, område 2, volym 10, s. 1).
8      Europaparlamentets och rådets direktiv av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).
9      I punkt 5 i beslutet att begära förhandsavgörande anges att ”Deutsche Post har yrkat att det ska fastställas att …”.
10      Under alla förhållanden skulle svaret inte bli nämnvärt annorlunda, eftersom dataskyddsförordningen återanvänder en stor del av innehållet i direktiv 95/46, som den ersätter.
11      Domstolen har redan tidigare slagit fast att ”eftersom bestämmelserna i direktiv 95/46 reglerar behandling av personuppgifter som kan innebära intrång i de grundläggande friheterna, och då särskilt i rätten till respekt för privatlivet, måste bestämmelserna i fråga med nödvändighet tolkas mot bakgrund av de grundläggande rättigheterna, vilka garanteras i stadgan” (dom av den 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punkt 38, och av den 9 mars 2017, Manni, C‑398/15, EU:C:2017:197, punkt 39).
12      Bland annat följande: större möjligheter att omfattas av förenklade tullförfaranden, underrättelse på förhand om att en tullkontroll ska genomföras, färre fysiska och dokumentbaserade kontroller än för andra ekonomiska aktörer vad beträffar tullkontroller, försändelser som har valts ut för undersökning behandlas med prioritet, möjlighet att välja var undersökningen ska ske samt ”indirekta” fördelar som inte uttryckligen framgår av tullagstiftningen, men som kan ha mycket positiva effekter vid den godkända ekonomiska aktörens allmänna affärstransaktioner. Att en godkänd ekonomisk aktör uppfyller kriterierna för skydd och säkerhet innebär att denne garanterar säkerheten och skyddet i leveranskedjan.
13      Enligt artikel 38.4 i tullkodexen ska status som godkänd ekonomisk aktör som beviljats av en medlemsstat erkännas av tullmyndigheterna i alla medlemsstater.
14      Förutom företagets anställda anser jag att det sökande företaget självt måste uppfylla dessa villkor.
15      I artikel 41 första stycket i tullkodexen föreskrivs att ”kommissionen ska genom genomförandeakter anta metoder för tillämpningen av de kriterier som avses i artikel 39”.
16      I artikel 5 i delegerad förordning 2016/341 föreskrivs att ansökningar om status som godkänd ekonomisk aktör ska inges på det formulär som beskrivs i bilaga 6. I den bilagan anges det i punkt 19 om förklarande anmärkningar att ansökan ska innehålla underskrift av den person som företräder den sökande som helhet, med uppgift om befattning, namn och stämpel. Den sökande ska även bland annat tillhandahålla följande uppgifter: ”Namn på personer i ledningen (verkställande direktörer, avdelningschefer, redovisningschefer, chefer för tullavdelningen osv.). Beskrivning av gängse rutiner i situationer där den behöriga anställda inte är närvarande, tillfälligt eller permanent.”
17      För enkelhets skull använder jag mig nedan enbart av uttrycket beviljas status som godkänd ekonomisk aktör, men resonemangen kan även tillämpas på bibehållandet av denna status.
18      Se Europeiska kommissionens riktlinjer om godkänd ekonomisk aktör, TAXUD/B2/047/2011-REV6, av den 11 mars 2016, s. 126 och 127, där det anges vilka uppgifter som företagen ska lämna på frågeformulären för självbedömning för status som godkänd ekonomisk aktör.
19      Om ledningen utövas av flera personer, får begäran om uppgifter logiskt sett innefatta alla dem som ingår i ledningen.
20      Med det begreppet avses ”det regelverk som utgörs av allt följande: a) Kodexen och de bestämmelser för att komplettera eller genomföra den som antagits på unionsnivå eller nationell nivå. b) Gemensamma tulltaxan. c) Den lagstiftning som fastställer ett unionssystem för tullbefrielser. d) Internationella avtal som innehåller tullbestämmelser, i den mån de är tillämpliga i unionen.”
21      Det gäller bland annat skatt på handel med varor och tjänster som har direkt samband med den sökandes ekonomiska verksamhet (till exempel mervärdesskatt), punktskatter och företagsbeskattning.
22      I Europeiska kommissionens riktlinjer om godkänd ekonomisk aktör, TAXUD/B2/047/2011-REV6, av den 11 mars 2016, s. 37, nämns brott som konkursbedrägeri (insolvens), varje överträdelse av hälsobestämmelser, överträdelse av miljölagstiftning, t.ex. olaglig förflyttning av farligt avfall över gränserna, bedrägeri som rör reglerna för dubbla användningsområden, deltagande i en kriminell organisation, mutor och korruption, it-brottslighet, penningtvätt, direkt eller indirekt deltagande i terroristverksamhet eller direkt eller indirekt deltagande i att främja eller bistå olaglig invandring till EU.
23      Beslutet att begära förhandsavgörande, punkt 16.
24      Dom av den 1 oktober 2015, Bara m.fl. (C‑201/14, EU:C:2015:638), punkt 29, och dom av den 27 september 2017, Puškár (C‑73/16, EU:C:2017:725), punkt 41.
25      Det följer av fast praxis att rätten till respekt för privatlivet vad avser behandling av personuppgifter, omfattar varje uppgift som rör en fysisk person som är namngiven eller som på annat sätt kan identifieras (dom av den 9 november 2010, Volker und Markus Schecke och Eifert, C‑92/09 och C‑93/09, EU:C:2010:662, punkt 52, och dom av den 17 oktober 2013, Schwartz, C‑291/12, EU:C:2013:670, punkt 26).
26      Det kan enligt beslutet att begära förhandsavgörande bland annat röra sig om tillhörighet till religiöst samfund som tar ut skatt samt datum för in- och utträde, civilstånd och datum för ändring av civilståndet, samt eventuellt maken eller makans identifieringsnummer och barn med deras identifieringsnummer, med avseende på skatteavdrag för barn.
27      I sin dom av den 27 september 2017, Puškár (C‑73/16, EU:C:2017:725), punkt 34, slog domstolen fast att upptagandet i en förteckning av namn, personligt identifikationsnummer och skatteregistreringsnummer avseende personer som används som bulvaner för att inneha ledningsfunktioner, utgör ”behandling av personuppgifter”. Denna förteckning hade utarbetats av Republiken Slovakiens finansdirektorat och kontor för bekämpning av ekonomisk brottslighet och såväl insamlingen av uppgifterna som deras användning av olika skattemyndigheter utgör behandling av personuppgifter.
28      Dom av den 1 oktober 2015, Bara m.fl. (C‑201/14, EU:C:2015:638), punkt 29.
29      ‑
30      Vidare anges i denna artikel att ”[y]tterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning)”.
31      Enligt den hänskjutande domstolen har ”de skatteidentifieringsnummer som den centrala skattemyndigheten tilldelat arbetstagare från Deutsche Post (139a § stycke 1 första meningen skattelagen), endast samlats in och lagrats för uppbörd av inkomstskatt i form av avdrag för skatt på inkomst av tjänst (39e § stycke 4 första meningen punkt 1 lagen om inkomstskatt). De personuppgifter från bolagets arbetstagare som samlats in för detta ändamål har därför inte någon direkt koppling till bedömningen av deras tillförlitlighet i tullrättsligt hänseende. I synnerhet har de personuppgifter från bolagets arbetstagare som har samlats in för uppbörd av inkomstskatt i form av avdrag för skatt på inkomst av tjänst inte någon koppling till Deutsche Posts ekonomiska verksamhet i sig.”
32      Det bör även erinras om att det av det ändamål som efterstävas med direktiv 95/46 – säkerställandet av en likvärdig skyddsnivå i alla medlemsstater – följer att det i artikel 7 i det direktivet görs en uttömmande uppräkning av de situationer när en behandling av personuppgifter kan anses vara tillåten (dom av den 24 november 2011, Asociación Nacional de Establecimientos Financieros de Crédito, C‑468/10 och C‑469/10, EU:C:2011:777, punkt 30, och dom av den 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punkt 105). Detta gäller även uppräkningen i artikel 6.1 i dataskyddsförordningen.
33      Dom av den 20 maj 2003, Österreichischer Rundfunk m.fl. (C‑465/00, C‑138/01 och C‑139/01, EU:C:2003:294), punkt 64, och dom av den 30 maj 2013, Worten (C‑342/12, EU:C:2013:355), punkt 36.
34      Det följer av domstolens praxis att ”kravet på att samtliga begränsningar i utövandet av grundläggande rättigheter ska vara föreskrivna i lag, innebär att den rättsliga grund som gör ingreppet i rättigheterna möjligt själv ska definiera räckvidden för begränsningen i utövandet av den aktuella rättigheten” (se, för ett liknande resonemang, yttrande 1/15 (PNR-avtal EU-Kanada) av den 26 juli 2017 (EU:C:2017:592), punkt 139, och dom av den 17 december 2015, WebMindLicenses (C‑419/14, EU:C:2015:832), punkt 81.
35      I sin dom av den 27 september 2017, Puškár (C‑73/16, EU:C:2017:725), punkterna 106–109, slog domstolen fast att en förteckning över personer som finansdirektoratet i Republiken Slovakien ansåg vara bulvaner och som upprättats för att förbättra skatteuppbörden och bekämpa skatteundandragande, omfattades av tillämpningsområdet för artikel 7 e i direktiv 95/46 (en bestämmelse som nämns i artikel 6.1 e i dataskyddsförordningen), eftersom dess syften i själva verket skulle betraktas som arbetsuppgifter av allmänt intresse.
36      Enligt artikel 52.1 andra meningen i stadgan ska begränsningar av det skydd för personuppgifter som garanteras i artikel 8.1, ske med beaktande av proportionalitetsprincipen och inskränkas till vad som är strängt nödvändigt (dom av den 8 april 2014, Digital Rights Ireland m.fl., C‑293/12, och C‑594/12, EU:C:2014:238, punkt 52, dom av den 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 28, och dom av den 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punkt 92).
37      Inom andra unionsrättsliga områden finns det också fall där bristande hederlighet eller redbarhet hos personer i ledningen för ett företag påverkar företagets förmåga att bedriva en ekonomisk verksamhet eller att komma i åtnjutande av en förmån. Till exempel föreskrivs det i artikel 23.1 b i Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49 (EUT L 176, 2013, s. 338), beträffande förvärv av kvalificerade innehav i kreditinstitut, att ”de behöriga myndigheterna, i syfte att säkerställa sund och ansvarsfull ledning av det kreditinstitut som förvärvet gäller och med beaktande av den tilltänkta förvärvarens sannolika påverkan på kreditinstitutet, [ska] bedöma om den tilltänkta förvärvaren är lämplig och om det tilltänkta förvärvet är ekonomiskt sunt i enlighet med följande kriterier: … b) Anseende, kunskaper, färdigheter och erfarenheter, i enlighet med artikel 91.1, för de medlemmar i ledningsorganet och medlemmar i den verkställande ledningen som kommer att leda kreditinstitutets verksamhet efter det tilltänkta förvärvet.” Se beträffande detta mitt förslag till avgörande av den 27 juni 2018, Berlusconi och Fininvest, C‑219/17, EU:C:2018:502.
38      Mål C‑178/16 (EU:C:2017:487), punkt 54. I punkt 34 i dom av den 20 december 2017 (EU:C:2017:1000), vilken meddelades i det målet, slog domstolen fast att ”unionsrätten … [utgår] från premissen att juridiska personer agerar genom sina företrädare. De sistnämndas agerande i strid med yrkesetiken kan därför vara en relevant faktor vid bedömningen av ett bolags yrkesetik. Medlemsstaterna får – i samband med att de fastställer kraven för tillämpning av de valfria grunderna för uteslutning – bland de detaljer som är relevanta för att bedöma det anbudsgivande bolagets integritet därför beakta huruvida bolagets styrelseledamöter agerat i strid med yrkesetiken.”
39      Med avseende på iakttagandet av proportionalitetsprincipen, kräver skyddet för den grundläggande rätten till respekt för privatlivet inom unionen enligt domstolens fasta praxis att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt (dom av den 8 april 2014, Digital Rights Ireland m.fl., C‑293/12 och C‑594/12, EU:C:2014:238, punkterna 51 och 52, dom av den 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punkt 92, dom av den 21 december 2016, Tele2 Sverige och Watson m.fl., C‑203/15 och C‑698/15, EU:C:2016:970, punkt 96, och dom av den 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punkt 112).
40      Vid förhandlingen diskuterades det huruvida det skulle kunna vara ett mindre ingripande alternativ om företaget gav in intyg om att dess ledning och den person som ansvarar för tullfrågor uppfyller alla krav i skattemässigt avseende. Enligt Hauptzollamt är så inte fallet, eftersom sådana intyg ska sökas direkt av dessa personer och de dessutom innehåller mer information än vad som är nödvändigt för att pröva en ansökan om status som godkänd ekonomisk aktör. Det ankommer på den hänskjutande domstolen att pröva dessa och andra argument rörande denna fråga.
41      Dom av den 1 oktober 2015, Bara m.fl. (C‑201/14, EU:C:2015:638), punkt 40.