CELEX: 62017CC0496
Language: pt
Date: 2018-10-17 00:00:00
Title: Conclusões do advogado-geral Campos Sánchez-Bordona apresentadas em 17 de outubro de 2018.#Deutsche Post AG contra Hauptzollamt Köln.#Pedido de decisão prejudicial apresentado pelo Finanzgericht Düsseldorf.#Reenvio prejudicial — União aduaneira — Código Aduaneiro da União — Artigo 39.o — Estatuto de operador económico autorizado — Regulamento de Execução (UE) 2015/2447 — Artigo 24.o, n.o 1, segundo parágrafo — Requerente diverso de uma pessoa singular — Questionário — Recolha de dados pessoais — Diretiva 95/46/CE — Artigos 6.oe 7.o — Regulamento (UE) 2016/679 — Artigos 5.o e 6.o — Tratamento de dados pessoais.#Processo C-496/17.

CONCLUSÕES DO ADVOGADO‑GERAL
      MANUEL CAMPOS SÁNCHEZ‑BORDONA
      apresentadas em 17 de outubro de 2018 (
            1
         )
      
         Processo C‑496/17
      
      Deutsche Post AG
      contra
      Hauptzollamt Köln
      
         [pedido de decisão prejudicial apresentado pelo Finanzgericht Düsseldorf (Tribunal Tributário de Düsseldorf, Alemanha)]
      
      «Reenvio prejudicial — Direitos e obrigações das pessoas relativamente à legislação aduaneira — Estatuto de operador económico autorizado — Questionário — Proteção de dados de caráter pessoal — Número de identificação fiscal — Serviço de finanças competente para a liquidação de imposto sobre o rendimento — Tratamento de dados necessário para o cumprimento de uma obrigação jurídica — Princípio da limitação à finalidade do tratamento dos dados pessoais»
      
               1. 
            
            
               A Administração Aduaneira alemã exige alguns dados de caráter pessoal dos gestores e dos trabalhadores das empresas que pretendam obter ou manter o estatuto de operador económico autorizado (a seguir «AEO»), que beneficiam de um tratamento mais favorável do que os restantes importadores ou exportadores.
            
         
               2. 
            
            
               A questão prejudicial tem por objeto os limites que o direito da União impõe a estas exigências, quer seja no domínio puramente aduaneiro quer no da proteção de dados de caráter pessoal.
            
         
         I. Quadro jurídico
      
      
         
            A.
          
            Direito da União
         
      
      
         1. Legislação aduaneira
      
      
         a) Código Aduaneiro
      
      
               3.
            
            
               O artigo 38.o do Regulamento n.o 952/2013 (
                     2
                  ) prevê:
               «1.   Os operadores económicos estabelecidos no território aduaneiro da União que preencham os critérios previstos no artigo 39.o podem solicitar o estatuto de operador económico autorizado.
               […]
               2.   O estatuto de operador económico autorizado comporta os seguintes tipos de autorização:
               
                        a)
                     
                     
                        A de operador económico autorizado para simplificações aduaneiras, que habilita o titular a beneficiar de determinadas simplificações nos termos da legislação aduaneira; ou
                     
                  
                        b)
                     
                     
                        A de operador económico autorizado para segurança e proteção, que habilita o titular a beneficiar de facilitações no que respeita a segurança e proteção.
                     
                  […]»
            
         
               4.
            
            
               O artigo 39.o, alínea a), estabelece:
               «Os critérios para a concessão do estatuto de operador económico autorizado são os seguintes:
               
                        a)
                     
                     
                        Ausência de infrações graves ou recidivas à legislação aduaneira e às regras de tributação, incluindo a inexistência de registo de infrações penais graves relacionadas com a atividade económica do requerente;
                     
                  […]».
            
         
         b) Regulamento de Execução (UE) 2015/2447 (
               3
            )
      
      
               5.
            
            
               Segundo o artigo 24.o, n.o 1:
               «[…]
               Se o requerente não for uma pessoa singular, o critério previsto no artigo 39.o, alínea a), do Código é considerado cumprido se, ao longo dos últimos três anos, nenhuma das pessoas seguintes tiver cometido quaisquer infrações graves ou repetidas à legislação aduaneira e às regras de tributação e não houver registo de infrações penais graves relacionadas com a sua atividade económica:
               
                        a)
                     
                     
                        O requerente;
                     
                  
                        b)
                     
                     
                        A pessoa responsável pelo requerente ou que exerça controlo sobre a sua gestão;
                     
                  
                        c)
                     
                     
                        O funcionário responsável pelas questões aduaneiras do requerente.»
                     
                  
         
         c) Regulamento Delegado (UE) 2016/341 (
               4
            )
      
      
               6.
            
            
               Nos termos do artigo 1.o:
               «1.   O presente regulamento estabelece medidas transitórias sobre os meios para o intercâmbio e armazenamento de informações a que se refere o artigo 278.o do Código, até estarem operacionais os sistemas eletrónicos necessários à aplicação das disposições do Código.
               2.   Os requisitos em matéria de dados, os formatos e os códigos que devem ser aplicados durante os períodos de transição previstos no presente regulamento, no Regulamento Delegado (UE) 2015/2446, que completa o Regulamento (UE) n.o 952/2013, e no Regulamento de Execução (UE) 2015/2447, são estabelecidos nos anexos do presente regulamento.»
            
         
               7.
            
            
               O artigo 5.o determina:
               «1.   Até à datas de modernização do sistema de AEO a que se refere o anexo da Decisão de Execução 2014/255/UE, as autoridades aduaneiras podem autorizar a utilização de outros meios para além das técnicas de processamento eletrónico de dados em relação aos pedidos e às decisões em matéria de AEO ou em relação a todo e qualquer evento subsequente que possa ter uma incidência sobre o pedido ou decisão inicial.
               2.   Nos casos referidos no n.o 1 do presente artigo é aplicável o seguinte:
               
                        a)
                     
                     
                        os pedidos do estatuto de AEO devem ser apresentados através do formulário que figura no Anexo 6; e
                     
                  
                        b)
                     
                     
                        as autorizações de concessão do estatuto de AEO devem ser emitidas através do formulário que figura no Anexo 7.»
                     
                  
         
               8.
            
            
               O ponto 19 das notas explicativas do Anexo 6 é consagrado ao conteúdo do formulário de pedido do estatuto de AEO:
               «Nome, data e assinatura do requerente:
               Assinatura: O signatário deve indicar em que qualidade atua. Deve ser sempre a pessoa que representa o requerente no seu conjunto.
               Nome: Nome e carimbo do requerente.
               […]
               
                        8.
                     
                     
                        Indicar os nomes dos principais gestores da empresa (diretores‑gerais, chefes de divisão, chefes de contabilidade, diretores financeiros, chefe de setor aduaneiro, etc.). Descrever os procedimentos adotados aquando da ausência temporária ou definitiva da pessoa competente.
                     
                  
                        9.
                     
                     
                        Indicar os nomes e os cargos das pessoas com conhecimentos específicos em matéria aduaneira na organização do requerente. Avaliar o nível de conhecimentos dessas pessoas no que respeita à utilização da tecnologia de informação (TI) no domínio aduaneiro e comercial e em assuntos gerais de caráter comercial.
                     
                  […]»
            
         
         2. Regras em matéria de proteção de dados: Regulamento (UE) 2016/679 (
               5
            )
      
      
               9.
            
            
               Segundo o artigo 4.o:
               «Para efeitos do presente regulamento entende‑se por:
               
                        1)
                     
                     
                        “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;
                     
                  
                        2)
                     
                     
                        “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;
                     
                  […]».
            
         
               10.
            
            
               O artigo 5.o dispõe:
               «Os dados pessoais são:
               
                        a)
                     
                     
                        Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);
                     
                  
                        b)
                     
                     
                        Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades; o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais, em conformidade com o artigo 89.o, n.o 1 (“limitação das finalidades”);
                     
                  
                        c)
                     
                     
                        Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”).
                     
                  […]»
            
         
               11.
            
            
               O artigo 6.o dispõe:
               «1.   O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:
               
                        a)
                     
                     
                        O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;
                     
                  […]
               
                        c)
                     
                     
                        O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;
                     
                  […]
               
                        e)
                     
                     
                        O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;
                     
                  […]
               2.   Os Estados‑Membros podem manter ou aprovar disposições mais específicas com o objetivo de adaptar a aplicação das regras do presente regulamento no que diz respeito ao tratamento de dados para o cumprimento do n.o 1, alíneas c) e e), determinando, de forma mais precisa, requisitos específicos para o tratamento e outras medidas destinadas a garantir a licitude e lealdade do tratamento, inclusive para outras situações específicas de tratamento em conformidade com o capítulo IX.
               3.   O fundamento jurídico para o tratamento referido no n.o 1, alíneas c) e e), é definido:
               
                        a)
                     
                     
                        Pelo direito da União; ou
                     
                  
                        b)
                     
                     
                        Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.
                     
                  A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.o 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. […] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.
               4.   Quando o tratamento para fins que não sejam aqueles para os quais os dados pessoais foram recolhidos não for realizado com base no consentimento do titular dos dados ou em disposições do direito da União ou dos Estados‑Membros que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no artigo 23.o, n.o 1, o responsável pelo tratamento, a fim de verificar se o tratamento para outros fins é compatível com a finalidade para a qual os dados pessoais foram inicialmente recolhidos, tem nomeadamente em conta:
               
                        a)
                     
                     
                        Qualquer ligação entre a finalidade para a qual os dados pessoais foram recolhidos e a finalidade do tratamento posterior;
                     
                  
                        b)
                     
                     
                        O contexto em que os dados pessoais foram recolhidos, em particular no que respeita à relação entre os titulares dos dados e o responsável pelo seu tratamento;
                     
                  
                        c)
                     
                     
                        A natureza dos dados pessoais, em especial se as categorias especiais de dados pessoais forem tratadas nos termos do artigo 9.o, ou se os dados pessoais relacionados com condenações penais e infrações forem tratados nos termos do artigo 10.o;
                     
                  
                        d)
                     
                     
                        As eventuais consequências do tratamento posterior pretendido para os titulares dos dados;
                     
                  
                        e)
                     
                     
                        A existência de salvaguardas adequadas, que podem ser a cifragem ou a pseudonimização.»
                     
                  
         
               12.
            
            
               Em conformidade com o artigo 23.o, n.o 1, alínea e):
               «O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente:
               […]
               
                        e)
                     
                     
                        Outros objetivos importantes do interesse público geral da União ou de um Estado‑Membro, nomeadamente um interesse económico ou financeiro importante da União ou de um Estado‑Membro, incluindo nos domínios monetário, orçamental ou fiscal, da saúde pública e da segurança social».
                     
                  
         
         
            B.
          
            Direito nacional
         
      
      
         1. Abgabeordnung (Código Tributário)
      
      
               13.
            
            
               Na versão aplicável aos factos, o § 139a, n.o 1, dispõe:
               «O Bundeszentralamt für Steuern [(Serviço Federal dos Impostos)] atribui a cada sujeito passivo um código da identificação individual e permanente (código de identificação), que deve ser fornecido pelo sujeito passivo ou pelo terceiro que deva transmitir dados deste sujeito passivo, em qualquer consulta, declaração ou comunicação às autoridades tributárias. O código de identificação consiste numa sequência numérica que não pode ser composta ou deduzida de outros dados relativos ao sujeito passivo; o último algarismo é o algarismo de controlo […]».
            
         
               14.
            
            
               Nos termos do § 139b:
               «(1)   Uma pessoa singular não pode ter mais do que um número de identificação […]
               (2)   As autoridades tributárias só podem recolher e utilizar o número de identificação quando este seja necessário para o cumprimento das suas funções legais ou quando uma disposição legal permita ou imponha expressamente a recolha ou utilização do número de identificação. Outros organismos públicos ou não públicos só podem:
               
                        1.
                     
                     
                        recolher ou utilizar o número de identificação na medida em que este seja necessário para a transmissão de dados entre eles e as autoridades tributárias ou quando uma disposição legal permita ou imponha expressamente a recolha ou utilização do número de identificação;
                        […]
                     
                  
                        3.
                     
                     
                        utilizar o número de identificação de um sujeito passivo regularmente recolhido para cumprimento de todas as obrigações de comunicação às autoridades tributárias, na medida em que a obrigação de comunicação diga respeito ao mesmo sujeito passivo e a recolha e utilização tenha sido legítima de acordo com o n.o 1 […]
                     
                  (3)   O Bundeszentralamt für Steuern conserva os seguintes dados relativamente às pessoas singulares:
               
                        1.
                     
                     
                        número de identificação,
                     
                  […]
               
                        3.
                     
                     
                        apelido,
                     
                  
                        4.
                     
                     
                        apelidos anteriores,
                     
                  
                        5.
                     
                     
                        nomes próprios,
                     
                  
                        6.
                     
                     
                        título de Doutor,
                     
                  […]
               
                        8.
                     
                     
                        data e local de nascimento,
                     
                  
                        9.
                     
                     
                        género,
                     
                  
                        10.
                     
                     
                        endereço atual ou último endereço conhecido,
                     
                  
                        11.
                     
                     
                        autoridade tributária competente,
                     
                  
                        12.
                     
                     
                        dados confidenciais de acordo com a Bundesmeldegesetz [(Lei relativa ao registo dos residentes)],
                     
                  
                        13.
                     
                     
                        data do óbito,
                     
                  
                        14.
                     
                     
                        data da entrada e da saída.
                     
                  (4)   Os dados referidos no n.o 3 são conservados a fim de:
               
                        1.
                     
                     
                        garantir que uma pessoa só tem um número de identificação e que não é atribuído um número de identificação repetido,
                     
                  
                        2.
                     
                     
                        estabelecer o número de identificação de um sujeito passivo,
                     
                  
                        3.
                     
                     
                        se saber qual a autoridade tributária competente em relação a um sujeito passivo,
                     
                  
                        4.
                     
                     
                        poder transmitir aos organismos competentes os dados a receber por força de uma lei ou do direito supranacional ou intergovernamental,
                     
                  
                        5.
                     
                     
                        possibilitar à autoridade tributária o cumprimento das funções que lhe são atribuídas por disposição legal.»
                     
                  
         
         2. Einkommensteuergesetz (Código do Imposto sobre o Rendimento)
      
      
               15.
            
            
               O § 38, n.os 1 e 3, na versão aplicável à data dos factos, dispõe:
               «(1)   O imposto sobre o rendimento relativo a rendimentos do trabalho dependente será liquidado por retenção no salário (imposto sobre o salário) sempre que o salário seja pago por um empregador […]
               […]
               (3)   O empregador deve reter o imposto sobre o salário por conta do trabalhador em cada pagamento de salário […]».
            
         
               16.
            
            
               O § 39, n.os 1 e 4, prevê:
               «(1)   Para efetuar a retenção do imposto sobre o salário são determinadas, a pedido do trabalhador, as características da dedução […]
               […]
               (4)   As características da retenção são:
               
                        1.
                     
                     
                        as categorias do imposto,
                     
                  
                        2.
                     
                     
                        os montantes isentos por filhos a cargo nas categorias I a IV […],
                     
                  […]».
            
         
               17.
            
            
               De acordo com o § 39e:
               «(1)   O Bundeszentralamt für Steuern determina em relação a cada trabalhador, em princípio de forma automática, a categoria de imposto e, em relação aos filhos a cargo a tomar em conta nas categorias I a IV, os montantes isentos […], enquanto características da retenção do imposto sobre o salário (§ 39, n.o 4, primeiro parágrafo, pontos 1 e 2) […]. Sempre que o Finanzamt [(Serviço de Finanças)] determina as características da retenção do imposto sobre o salário nos termos do § 39, comunica‑as ao Bundeszentralamt für Steuern para este as disponibilizar para consulta automatizada pelo empregador […]
               (2)   Para efeitos da disponibilização ao empregador das características da retenção do imposto sobre o salário, que podem ser objeto de consulta automatizada, o Bundeszentralamt für Steuern conserva essas características, com indicação do número de identificação, bem como, relativamente a cada sujeito passivo, os seguintes dados, para além dos dados mencionados no § 139b, n.o 3, do Abgabenordnung:
               
                        1.
                     
                     
                        pertença legal a uma comunidade religiosa que tenha o direito de receber impostos bem como a data da entrada e da saída da mesma,
                     
                  
                        2.
                     
                     
                        situação familiar de acordo com o registo civil, bem como a data da constituição ou dissolução da situação familiar e, no caso de pessoas casadas, o número de identificação do cônjuge,
                     
                  
                        3.
                     
                     
                        filhos, com o seu número de identificação,
                     
                  […]
               (4)   O trabalhador deve comunicar a cada um dos seus empregadores, no início da relação de trabalho, para efeitos da consulta das características da retenção do imposto sobre o salário:
               
                        1.
                     
                     
                        o número de identificação e a data de nascimento,
                     
                  […]
               O empregador, no início da relação de trabalho, deve pedir ao Bundeszentralamt für Steuern, no momento da transmissão eletrónica dos dados, as características da retenção eletrónica do imposto sobre o salário do trabalhador e inscrevê‑las na conta de salário do trabalhador. […]
               […]»
            
         
         II. Litígio no processo principal e questão prejudicial
      
      
               18.
            
            
               A Deutsche Post era titular de autorizações aduaneiras concedidas ao abrigo do Regulamento (CEE) n.o 2913/92 (
                     6
                  ) e do Regulamento (CEE) n.o 2454/93 (
                     7
                  ), nomeadamente, como destinatário autorizado e como expedidor autorizado. Beneficia igualmente de uma garantia global para facilitar o regime de trânsito da União ou de trânsito comum e, desde o início da plena aplicação do novo Código Aduaneiro, da autorização para dispor de um armazém de depósito temporário.
            
         
               19.
            
            
               Por carta de 19 de abril de 2017, o Hauptzollamt (Serviço Aduaneiro Principal) solicitou à Deutsche Post que respondesse até 19 de maio de 2017 ao questionário de autoavaliação, parte I (Informações relativas à empresa), que se encontra disponível na Internet. Este questionário contém, entre outros, o pedido das seguintes informações:
               «1.1.2 Indique, na medida em que sejam aplicáveis à forma jurídica da sua empresa:
               […]
               
                        c)
                     
                     
                        os membros dos conselhos consultivos e dos órgãos de fiscalização, nome e apelido, data de nascimento, número de identificação fiscal e o serviço de finanças competente.
                     
                  1.1.6 Identifique os principais gestores da empresa (diretores executivos, diretores de departamento, diretor da contabilidade, diretor do departamento das questões aduaneiras, etc.) e descreva as regras de representação em causa. Os dados mínimos a comunicar são o nome e apelido, a data de nascimento, o número de identificação fiscal e o serviço de finanças competente.
               […]
               1.3.1 Identifique os responsáveis pelas questões aduaneiras na sua organização ou as pessoas que tratam de questões aduaneiras (por exemplo, técnicos aduaneiros, ou o diretor do departamento das questões aduaneiras), indicando o nome e apelidos, data de nascimento, número de identificação fiscal, o serviço de finanças competente e função na organização.»
            
         
               20.
            
            
               O Serviço Aduaneiro Principal alertou a Deutsche Post de que, ao não prestar a necessária colaboração, não seria possível verificar se cumpria os requisitos de autorização, em conformidade com o Código Aduaneiro. Foi ainda advertida de que as autorizações permanentes seriam revogadas caso não colaborasse ou se já não cumprisse aqueles requisitos.
            
         
               21.
            
            
               A Deutsche Post apresentou um pedido no órgão jurisdicional de reenvio, opondo‑se à obrigação de comunicar ao Serviço Aduaneiro Principal os números de identificação fiscal (a seguir «NIF») das pessoas referidas no formulário de autoavaliação, bem como os dados dos serviços de finanças competentes relativos às mesmas. Requeria ao tribunal que declarasse que não estava obrigada a responder a esta parte do formulário.
            
         
               22.
            
            
               A Deutsche Post alegou, para fundamentar o seu pedido, que:
               
                        —
                     
                     
                        o número de pessoas afetadas por tais questões na sua empresa era muito elevado e que, por razões de proteção de dados, não podia responder às mesmas, uma vez que alguns dos seus trabalhadores não estavam de acordo com a transmissão dos seus dados. Para além disso, as pessoas afetadas pelos pontos 1.1.2, alínea c), 1.1.6 e 1.3.1 excediam as referidas no artigo 24.o, n.o 1, segundo parágrafo, alíneas b) e c), do Regulamento 2015/2447;
                     
                  
                        —
                     
                     
                        a situação dos seus trabalhadores em matéria de imposto sobre o rendimento era irrelevante para determinar se tinham sido cometidas infrações graves ou reiteradas à legislação aduaneira ou tributária, ou infrações graves no âmbito da sua atividade económica. A comunicação dos respetivos NIF não era necessária nem adequada para avaliar a sua fiabilidade aduaneira.
                     
                  
         
               23.
            
            
               O Serviço Aduaneiro Principal contestou os argumentos da Deutsche Post, alegando que o pedido dos NIF é indispensável para identificar devidamente as pessoas em causa quando é efetuada uma consulta aos serviços de finanças. A troca de informações está prevista apenas quando estes serviços tiverem conhecimento de infrações graves ou reiteradas à legislação tributária. A este respeito, não são pertinentes os processos penais ou sancionatórios concluídos. As violações reiteradas da legislação tributária são tidas em consideração se a sua frequência tiver uma relação desproporcional com a natureza e a dimensão da atividade comercial do requerente.
            
         
               24.
            
            
               Segundo o Serviço Aduaneiro Principal, o círculo de pessoas a que se refere o questionário está em conformidade com o artigo 24.o, n.o 1, segundo parágrafo, do Regulamento 2015/2447 e com as orientações da Comissão sobre os AEO. Em cada caso, em função do risco, esse serviço decide sobre quais as pessoas específicas relativamente às quais é efetuada a troca de informações com os serviços de finanças. No que respeita às pessoas que se dedicam a assuntos aduaneiros, a consulta, no caso de grandes serviços aduaneiros, limita‑se aos gestores e responsáveis.
            
         
               25.
            
            
               O Finanzgericht Düsseldorf (Tribunal Tributário de Düsseldorf, Alemanha) tem dúvidas sobre se a consulta dos dados pessoais solicitados (NIF e serviços de finanças competentes para a cobrança do imposto sobre o rendimento relativamente às pessoas mencionadas nos pontos 1.1.2, alínea c), 1.1.6 e 1.3.1 do formulário) constitui um tratamento lícito de dados, à luz do Regulamento 2016/679 e do artigo 8.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).
            
         
               26.
            
            
               Põe igualmente em dúvida a necessidade de recorrer a dados pessoais de trabalhadores e de membros do conselho de supervisão da recorrente, recolhidos para a cobrança do imposto sobre o rendimento, uma vez que não estão diretamente relacionados com a avaliação da sua fiabilidade aduaneira, nem com a atividade económica da Deutsche Post.
            
         
               27.
            
            
               Neste contexto, o órgão jurisdicional de reenvio decidiu submeter ao Tribunal de Justiça a seguinte questão prejudicial:
               «Deve o artigo 24.o, n.o 1, segundo parágrafo, do Regulamento de Execução (UE) 2015/2447 da Comissão, de 24 de novembro de 2015, que estabelece as regras de execução de determinadas disposições do Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho, que estabelece o Código Aduaneiro da União, ser interpretado no sentido de que a autoridade aduaneira pode exigir ao requerente que lhe comunique os números de identificação fiscal atribuídos pelo Bundeszentralamt für Steuern ([S]erviço [F]ederal dos [I]mpostos alemão) para efeitos de liquidação do imposto sobre o rendimento, bem como os serviços de finanças competentes para a liquidação do imposto sobre o rendimento dos membros do [c]onselho de [s]upervisão do requerente e dos seus diretores com funções de gestão, chefes de divisão, chefe da contabilidade, chefe do setor aduaneiro, responsáveis pelos assuntos aduaneiros e pessoas que tratam dos assuntos aduaneiros?»
            
         
               28.
            
            
               A Deutsche Post, o Serviço Aduaneiro Principal, os Governos de Espanha, da Hungria e da Itália, bem como a Comissão, apresentaram observações escritas. Na audiência, realizada em 5 de julho de 2018, compareceram a Deutsche Post, o Serviço Aduaneiro Principal e a Comissão.
            
         
         III. Resposta à questão prejudicial
      
      
               29.
            
            
               Antes de proceder à análise do mérito, deve clarificar‑se quais as regras da União em matéria de proteção de dados pessoais aplicáveis ao caso em apreço.
            
         
               30.
            
            
               O pedido de comunicação de informações foi apresentado à Deutsche Post em 19 de abril de 2017, antes, portanto, da entrada em vigor (a 25 de maio de 2018) do Regulamento 2016/679. Nessa altura, aplicava‑se a Diretiva 95/46/CE (
                     8
                  ), mas tanto o órgão jurisdicional de reenvio como os intervenientes no processo prejudicial, com exceção da Comissão, dão por adquirido que se aplica o referido regulamento.
            
         
               31.
            
            
               A explicação para esta aparente irregularidade pode ser encontrada na natureza do processo nacional de origem. Tal como foi explicado na audiência, a Deutsche Post não terá intentado uma ação de declaração de nulidade (Anfechtungsklage), que o juiz deveria ponderar de acordo com a legislação em vigor na altura dos factos, mas sim uma ação declarativa (Feststellungsklage) (
                     9
                  ), que tem de ser decidida à luz da situação jurídica em vigor à data da audiência e da decisão.
            
         
               32.
            
            
               Cabe ao órgão jurisdicional de reenvio interpretar o seu direito processual nacional, sobre o qual o Tribunal de Justiça não se pronuncia. Por conseguinte, se, por força das normas internas, o litígio tem de ser resolvido, ratione temporis, nos termos do Regulamento 2016/679 e não da Diretiva 95/46, o Tribunal de Justiça tem de facultar a interpretação daquele e não desta (
                     10
                  ).
            
         
               33.
            
            
               Pretende‑se com a questão prejudicial a interpretação, e não a eventual declaração de nulidade, do artigo 24.o, n.o 1, do Regulamento 2015/2447, caso em que deve ser considerado o Regulamento 2016/679 e os artigos 7.o e 8.o da Carta (
                     11
                  ). O tribunal a quo não sugere, reitera‑se, a eventual nulidade daquele artigo, que se limita a determinar os requisitos para a atribuição do estatuto de AEO e não obriga, por si só, à transmissão ou ao tratamento de dados de caráter pessoal por parte de terceiros.
            
         
         
            A.
          
            Interpretação do artigo 24.o do Regulamento 2015/2447
         
      
      
               34.
            
            
               O estatuto de AEO confere vantagens (
                     12
                  ) aos operadores económicos que, no contexto das suas operações aduaneiras, sejam considerados fiáveis em todo o território da União (artigo 5.o, n.o 5, do Código Aduaneiro). De entre essas vantagens salienta‑se, em conformidade com o artigo 38.o, n.o 6, do mesmo código, o direito de beneficiar de um tratamento mais favorável de que o dos outros operadores, no que diz respeito aos controlos aduaneiros. Consoante o tipo de autorização concedida, um AEO será sujeito a menos controlos físicos e documentais.
            
         
               35.
            
            
               Como os AEO devem ter uma fiabilidade e uma reputação verificadas, a concessão desse estatuto está sujeita ao respeito dos requisitos previstos no artigo 39.o do Código Aduaneiro (
                     13
                  ), a saber:
               
                        —
                     
                     
                        cumprimento da legislação aduaneira e das regras de tributação, incluindo a inexistência de condenações por infrações penais graves relacionadas com a atividade económica do requerente;
                     
                  
                        —
                     
                     
                        demonstração, pelo requerente, de um elevado nível de controlo das suas operações e do fluxo de mercadorias, mediante um sistema de gestão dos registos comerciais e, se for caso disso, dos registos de transporte, que permita a realização de controlos aduaneiros adequados;
                     
                  
                        —
                     
                     
                        solvabilidade financeira comprovada; e,
                     
                  
                        —
                     
                     
                        em função do tipo de estatuto de AEO, nível adequado de competência ou de qualificações profissionais diretamente relacionadas com a atividade exercida (AEOC), ou normas adequadas em matéria de segurança (AEOS).
                     
                  
         
               36.
            
            
               Estas condições são exigíveis a todos os operadores que requerem o estatuto AEO, quer se trate de pessoas coletivas quer singulares. No caso em apreço, como a Deutsche Post é uma pessoa coletiva, o requisito de não ter cometido infrações graves ou reiteradas à legislação aduaneira e às regras de tributação, nem ter sido condenada por infrações penais graves relacionadas com a sua atividade económica, é estendido a alguns dos seus trabalhadores (os que detêm as funções mais importantes e que, em seguida, são citados) (
                     14
                  ). Assim consta do artigo 24.o do Regulamento 2015/2447, norma ditada por aplicação do artigo 39.o, alínea a), do Código Aduaneiro (
                     15
                  ).
            
         
               37.
            
            
               Devem estar isentos destas condenações, segundo o artigo 24.o do Regulamento 2015/2447, «a pessoa responsável pelo requerente ou que exerça controlo sobre a sua gestão» e «o funcionário responsável pelas questões aduaneiras do requerente» (
                     16
                  ).
            
         
               38.
            
            
               O artigo 24.o do Regulamento 2015/2447 determina os limites que as autoridades aduaneiras não devem exceder nos seus pedidos de informações relativamente ao círculo de pessoas investigáveis. Devem igualmente ser tidos em conta os limites no que respeita ao objetivo que deve presidir à recolha de dados dessas pessoas.
            
         
         1. Pessoas singulares investigáveis antes da concessão do estatuto de AEO a uma pessoa coletiva
      
      
               39.
            
            
               A lógica do artigo 24.o do Regulamento 2015/2447 é a de que, para atribuir (
                     17
                  ) o estatuto de AEO, as autoridades aduaneiras devem dispor de certos dados dos principais responsáveis das empresas, bem como das pessoas singulares que coordenam as suas atividades aduaneiras (
                     18
                  ).
            
         
               40.
            
            
               O teor do artigo 24.o do Regulamento 2015/2447 é restritivo: refere‑se exclusivamente à pessoa responsável (do operador que requer o estatuto de AEO) ou que exerça controlo sobre a sua gestão e ao funcionário responsável pelas questões aduaneiras. A disposição utiliza o singular, de modo que se aplica uma interpretação estrita, apoiada também no facto de que as informações comunicadas são dados pessoais. Uma norma de direito derivado hierarquicamente subordinada ao artigo 24.o do Regulamento 2015/2447, como é o Anexo 6 do Regulamento Delegado 2016/341, não pode estender o seu âmbito subjetivo de aplicação.
            
         
               41.
            
            
               Por conseguinte, as autoridades aduaneiras só podem recolher informações pessoais sobre:
               
                        —
                     
                     
                        o responsável pela empresa requerente do estatuto de AEO, que é normalmente a pessoa com poderes executivos de gestão (
                              19
                           );
                     
                  
                        —
                     
                     
                        o responsável pelas questões aduaneiras da empresa. A mesma interpretação restrita é aplicável ao presente caso e pressupõe que apenas se podem recolher dados pessoais do responsável último pelas atividades aduaneiras da empresa.
                     
                  
         
               42.
            
            
               A partir desta premissa, partilhamos da opinião do órgão jurisdicional de reenvio, para o qual o pedido de dados pessoais dos membros do conselho de supervisão ou do conselho consultivo de uma empresa não se encontra abrangido pelo disposto no artigo 24.o do Regulamento 2015/2447. No mesmo sentido, também não existe base legal, nessa disposição, para pedir os dados dos diretores de outros departamentos e dos diretores da contabilidade, exceto se essas pessoas assumirem, também, o poder de decisão final na empresa ou se tratarem das questões aduaneiras.
            
         
         2. Informações e dados exigidos pelas autoridades aduaneiras
      
      
               43.
            
            
               Em conformidade com o artigo 24.o do Regulamento 2015/2447, como já foi indicado, só se podem recolher as informações essenciais para verificar a ausência de «infrações graves ou repetidas à legislação aduaneira e às regras de tributação», e não houver registo de «infrações penais graves» relacionadas com a sua atividade económica».
            
         
               44.
            
            
               Esta é, assim, a única finalidade a que deverá obedecer a recolha de dados pelas autoridades aduaneiras. A norma não especifica, no entanto, quais os tipos de dados adequados para cumprir o seu objetivo: cabe aos Estados‑Membros determiná‑los, no entendimento de que deverão ser apenas os indispensáveis para assegurar a (in)existência de condutas que afetem a fiabilidade dos principais responsáveis da empresa.
            
         
               45.
            
            
               Para verificar se os trabalhadores em causa, da empresa candidata ao estatuto AEO, não têm a integridade necessária para a confiança da Administração Aduaneira, o artigo 24.o do Regulamento 2015/2447 indica três categorias de infrações:
               
                        —
                     
                     
                        As «infrações graves ou repetidas à legislação aduaneira». Considera‑se «legislação aduaneira» aquela que é definida no artigo 5.o, n.o 2, do Código Aduaneiro (
                              20
                           ). Como é, precisamente, a Administração Aduaneira quem gere a aplicação desse diploma legal, em princípio, já possui, por si só, dados suficientes. O Serviço Aduaneiro Principal reconhece que tem acesso direto às bases de dados federais com informações sobre infrações aduaneiras ou relativas à atividade económica da empresa.
                     
                  
                        —
                     
                     
                        As «infrações graves ou repetidas às regras de tributação», conceito que, como sublinha a Comissão, engloba um vasto leque de impostos (
                              21
                           ). Quanto a esta segunda categoria, as autoridades aduaneiras devem obter de terceiros as informações indispensáveis para se assegurar que os funcionários da empresa candidata ao estatuto de AEO não foram sancionados por esses atos ilícitos.
                     
                  
                        —
                     
                     
                        As «infraçõe[s] penais grave[s] relacionadas com a sua atividade económica», conceito que, como afirma a Comissão, inclui as infrações deste género que, cometidas por alguns dos seus principais dirigentes, prejudicam gravemente a reputação e a idoneidade da empresa no que diz respeito à gestão aduaneira (
                              22
                           ). Trata‑se novamente, de infrações de que, geralmente, as autoridades aduaneiras não têm conhecimento através dos seus próprios documentos.
                     
                  
         
               46.
            
            
               Quais os dados que as autoridades aduaneiras podem recolher, nos termos do artigo 24.o do Regulamento 2015/2447, para detetar a presença destas infrações, com vista à concessão do estatuto de AEO?
            
         
               47.
            
            
               O Serviço Aduaneiro Principal sustenta que deve dispor dos NIF e das coordenadas dos serviços de finanças dos gestores e trabalhadores da Deutsche Post que exercem o controlo sobre a sua gestão aduaneira. Apenas assim, afirma, pode verificar se estes cometeram infrações graves ou repetidas às regras de tributação, uma vez que muitos impostos na Alemanha são geridos pelas autoridades regionais. O NIF é o elemento básico para exigir de forma precisa, a essas autoridades, as informações necessárias sobre aquelas pessoas.
            
         
               48.
            
            
               Em contrapartida, a Deutsche Post alega que a situação dos seus trabalhadores em matéria de imposto sobre o rendimento não é relevante para avaliar se foram cometidas infrações graves ou repetidas às regras de tributação. A comunicação dos respetivos NIF não seria, pois, necessária nem adequada para avaliar a sua fiabilidade no que respeita à gestão aduaneira.
            
         
               49.
            
            
               Das observações escritas e das explicações dadas na audiência deduz‑se que o NIF é um identificador pessoal utilizado nas relações das pessoas singulares com a Autoridade Tributária alemã para diversas questões. Há um consenso geral no sentido de que a sua principal utilização é para a gestão do imposto sobre o rendimento, o que explica a sua ligação ao litígio no processo principal com os dados dos serviços de finanças competentes para a sua liquidação.
            
         
               50.
            
            
               A interpretação do direito alemão não incumbe ao Tribunal de Justiça, mas ao tribunal de reenvio. Este último afirma que os NIF atribuídos pelo Serviço Federal dos Impostos aos trabalhadores da Deutsche Post (§ 139a, n.o 1, primeiro período, do Código Tributário) apenas podem ser recolhidos e armazenados para efeitos da liquidação do imposto sobre o rendimento, através da retenção na fonte desse imposto (§ 39e, n.o 4, primeira período, ponto 1, do Código do Imposto sobre o Rendimento).
            
         
               51.
            
            
               Os dados pessoais dos trabalhadores da Deutsche Post, recolhidos com a finalidade já indicada, não teriam, segundo o órgão jurisdicional de reenvio, uma relação direta com a atividade económica dessa empresa e não seriam pertinentes para o objetivo de se poder avaliar a sua fiabilidade para efeitos aduaneiros (
                     23
                  ).
            
         
               52.
            
            
               Considera‑se, no entanto, que, à luz da legislação aduaneira, nada obsta a que a Administração alemã solicite o NIF (e a designação do serviço de finanças competente para a liquidação do imposto sobre o rendimento) do gestor e do responsável pelas questões aduaneiras da empresa que pretende obter o estatuto de AEO. Sem prejuízo do que em seguida se expõe sobre a proteção destes dados pessoais, o seu registo pode servir para verificar a inexistência de infrações cometidas por aquelas pessoas.
            
         
               53.
            
            
               O argumento do órgão jurisdicional de reenvio poderia ser relevante se existisse a dissociação (à qual parece aludir) entre as informações que podem ser obtidas a partir do NIF, necessariamente referentes a cada pessoa singular, e a atividade da empresa. Mas o que se pretende com esta verificação é compreender se as duas pessoas singulares que desempenham funções importantes na entidade candidata ao AEO têm tido, ao longo dos últimos três anos, comportamentos próprios (isto é, não da empresa) que afetem a sua fiabilidade, contagiando, por assim dizer, com a sua falta de rigor — caso tenham sido sancionados no passado — a entidade em que exercem a sua gestão geral ou aduaneira.
            
         
         
            B.
          
            Artigo 24.o do Regulamento 2015/2447 e regulamentação da União em matéria de proteção de dados de caráter pessoal
         
      
      
               54.
            
            
               À semelhança de outros dados análogos de natureza fiscal assim qualificados pelo Tribunal de Justiça (
                     24
                  ), o NIF é um dado pessoal, na aceção do artigo 4.o, ponto 1, do Regulamento 2016/679, por se tratar de informação relativa a uma pessoa singular identificada ou identificável (
                     25
                  ).
            
         
               55.
            
            
               A indicação dos serviços de finanças competentes para a liquidação do imposto sobre o rendimento de uma pessoa surge, no despacho de reenvio, como fortemente relacionada com o NIF, devido à estrutura federal do sistema fiscal alemão. Pode considerar‑se ainda, neste contexto, um dado fiscal relativo a uma pessoa identificada ou identificável.
            
         
               56.
            
            
               Tal como destaca o órgão jurisdicional de reenvio, a consulta automatizada do NIF permite aceder a informações particularmente sensíveis (
                     26
                  ). É, assim, um instrumento que permite identificar o titular e recolher determinada informação sobre a sua vida privada e familiar, em poder da Administração.
            
         
               57.
            
            
               A atividade que é realizada em torno dos NIF nas relações da Administração Aduaneira com os candidatos ao estatuto de AEO pode ser qualificada de recolha ou divulgação por transmissão. Em ambos os casos, trata‑se de um tratamento de dados, na aceção do artigo 4.o, ponto 2, do Regulamento 2016/679. A Administração Aduaneira alemã solicita os NIF eestrutura‑os e utiliza‑os para solicitar aos serviços de finanças competentes informações sobre eventuais infrações graves ou repetidas às regras de tributação, cometidas por essas pessoas. A simples obtenção de tais dados implica já o seu tratamento, tal como, em maior medida, a sua estrutura e utilização posterior para informações sobre essas pessoas (
                     27
                  ).
            
         
               58.
            
            
               O Tribunal de Justiça tem entendido, também, que existe tratamento de dados se os dados forem transferidos de um organismo público para outro (
                     28
                  ) e igualmente quando uma entidade empregadora fornece dados pessoais a uma autoridade nacional (
                     29
                  ). Por conseguinte, a transmissão dos dados pessoais de dirigentes e funcionários por parte da Deutsche Post ao Serviço Aduaneiro Principal constitui «tratamento de dados» para efeitos do Regulamento 2016/679.
            
         
               59.
            
            
               O artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679 refere como princípio orientador do tratamento a limitação da finalidade, segundo o qual «os dados pessoais são recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades» (
                     30
                  ).
            
         
               60.
            
            
               É necessário decidir, portanto, se a utilização pelas autoridades aduaneiras alemãs dos NIF dos gestores e dos responsáveis pelas questões aduaneiras da Deutsche Post, exigidos a esta última, é compatível com o objetivo determinado pela legislação nacional para a recolha desses dados pessoais.
            
         
               61.
            
            
               O órgão jurisdicional de reenvio manifesta as suas dúvidas a esse respeito (
                     31
                  ) e considera que não existe uma relação direta entre os NIF e os serviços de finanças competentes para a liquidação do imposto sobre o rendimento de gestores e trabalhadores com as atividades aduaneiras da Deutsche Post. Tal como já anteriormente se explicou, verificou‑se, na audiência, que o direito alemão prevê a utilização desses dados fiscais, fundamental mas não exclusivamente, na relação laboral entre o empregador e o trabalhador, para efeitos da cobrança do imposto sobre o rendimento.
            
         
               62.
            
            
               Os NIF (e, em acréscimo, a indicação dos serviços de finanças competentes para a liquidação do imposto sobre o rendimento) são, portanto, dados pessoais que não foram concebidos para uma utilização no âmbito das relações entre uma empresa e a Administração Aduaneira alemã para obtenção ou manutenção do estatuto de AEO. Por conseguinte, estar‑se‑ia na presença de um tratamento de dados pessoais, o que, em princípio, não é conforme com a finalidade para a qual foram recolhidos, contrariando a norma do artigo 5.o, n.o 1, alínea b), do Regulamento 2016/679.
            
         
               63.
            
            
               O tratamento de dados pessoais neste contexto poderia, no entanto, ter justificação. Bastaria, por exemplo, que as pessoas singulares em causa prestassem o seu consentimento, segundo o artigo 6.o, n.o 1, alínea a), do Regulamento 2016/679. Resulta dos autos, no entanto, que os trabalhadores da Deutsche Post opõem‑se a tal, o que afasta essa solução.
            
         
               64.
            
            
               Outras justificações possíveis encontram‑se previstas no artigo 6.o, n.o 1 (
                     32
                  ), nos termos do qual o tratamento de dados pessoais é lícito se for necessário «para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito» [alínea c)] ou «ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento» [alínea e)] (
                     33
                  ). Em ambos os casos, o artigo 6.o, n.o 3, do Regulamento 2016/679 prevê que a base do tratamento deve ser estabelecida pelo direito da União ou pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.
            
         
               65.
            
            
               A licitude do pedido e do tratamento de dados pessoais que a Administração Aduaneira endereça à Deutsche Post assenta na obrigação legal (
                     34
                  ), à qual a Administração está sujeita, de verificar se o estatuto de AEO é concedido apenas a empresas cujos gestores e responsáveis pelas questões aduaneiras não cometeram as infrações acima referidas. Esta obrigação jurídica deriva, em última instância, do artigo 24.o do Regulamento 2015/2447. Considera‑se, por conseguinte, que se verifica a justificação prevista no artigo 6.o, n.o 1, alínea c), do Regulamento 2016/679.
            
         
               66.
            
            
               A licitude do tratamento dos NIF do gestor e do responsável pelas questões aduaneiras da empresa, para efeitos da atribuição do estatuto de AEO, pode igualmente encontrar fundamento no «exercício da autoridade pública de que está investido o responsável pelo tratamento» [artigo 6.o, n.o 1, alínea e), do Regulamento 2016/679] (
                     35
                  ), na medida em que é indispensável para que a Administração Aduaneira exerça o poder que lhe foi atribuído para controlar as empresas com estatuto de AEO. Este estatuto implica uma certa delegação das funções de controlo aduaneiro para os AEO, compensada por uma ampla faculdade da Administração para verificar e controlar a sua fiabilidade.
            
         
               67.
            
            
               O pedido e o tratamento dos dados em causa no processo, lícitos por se basearem no artigo 6.o, n.o 1, alíneas c) e e), podem determinar algumas restrições aos direitos que os artigos 12.o a 22.o do Regulamento 2016/679 reconhecem aos titulares dos dados pessoais. Cabe ao órgão jurisdicional de reenvio determinar se o Serviço Aduaneiro Principal, ao tratar esses dados, limita algum dos direitos das pessoas em causa, nomeadamente, o direito de acesso, de retificação, de apagamento ou de oposição.
            
         
               68.
            
            
               Essas limitações, se existirem, podem ser justificadas por alguns dos «objetivos importantes do interesse público geral da União ou de um Estado‑Membro, nomeadamente um interesse económico ou financeiro importante da União ou de um Estado‑Membro, incluindo nos domínios monetário, orçamental ou fiscal, da saúde pública e da segurança social» [artigo 23.o, n.o 1, alínea c), do Regulamento 2016/679]. A medida que imponha teria de respeitar, além disso, «no essencial[,] os direitos e liberdades fundamentais» e ser «necessária e proporcionada numa sociedade democrática» (
                     36
                  ).
            
         
               69.
            
            
               Em meu entender, o objetivo de assegurar a fiabilidade aduaneira do gestor e do responsável pelos assuntos aduaneiros da empresa, para efeitos da concessão do estatuto de AEO, responde a um objetivo de interesse público geral da União e do Estado alemão, do ponto de vista económico, fiscal e orçamental. O controlo da fiabilidade dos AEO promove a cobrança dos direitos aduaneiros, que são um recurso próprio da União, que os Estados‑Membros recolhem e transferem para o orçamento da União, após deduzirem uma taxa pela gestão administrativa.
            
         
               70.
            
            
               A falta de integridade do gestor da empresa e do seu responsável pelos assuntos aduaneiros são fatores que podem comprometer a fiabilidade aduaneira da referida empresa, com direta implicação na concessão do estatuto de AEO (
                     37
                  ). Como adverti nas minhas Conclusões no processo Impresa di Costruzioni Ing. E. Mantovani e Guerrato (
                     38
                  ), é natural que seja avaliada a falta de credibilidade de uma empresa sob a perspetiva dos atos ilícitos cometidos pelos responsáveis pela sua direção.
            
         
               71.
            
            
               Esta circunstância justifica que a Administração Aduaneira possa verificar os históricos dos registos fiscais dos gestores, incluindo o seu percurso relativamente ao imposto sobre o rendimento. Se o gestor da empresa ou o responsável pelas questões aduaneiras tiverem cometido infrações relacionadas com a liquidação deste imposto, ou qualquer outro, considera‑se que a Administração Aduaneira deve poder obter informações sobre as mesmas.
            
         
               72.
            
            
               Nesse mesmo sentido, a recolha e utilização de dados desta natureza constituem meios proporcionais para atingir o objetivo visado pelo artigo 24.o, n.o 1, do Regulamento 2015/2447 (
                     39
                  ). À luz das afirmações feitas na audiência pelo Serviço Federal dos Impostos, não existem, no direito alemão, meios alternativos menos restritivos, sendo que a estrutura federal do Estado alemão determina que alguns impostos, como o imposto sobre o rendimento, sejam geridos pelas autoridades regionais. O NIF constitui o meio mais adequado para que a Administração Aduaneira (federal) recolha e obtenha a informação fiscal possuída pelas várias autoridades regionais (
                     40
                  ).
            
         
               73.
            
            
               É conveniente fazer duas últimas considerações:
               
                        —
                     
                     
                        A Administração Aduaneira está vinculada pelos artigos 13.o e 14.o do Regulamento 2016/679 a fornecer informações ao gestor e ao responsável pelas questões aduaneiras da empresa com estatuto de AEO sobre o tratamento que será realizado dos seus dados pessoais (NIF e o serviço de finanças), a fim de que possam exercer os direitos que lhes são conferidos pelos artigos 15.o a 22.o do Regulamento 2016/679.
                     
                  
                        —
                     
                     
                        O Tribunal de Justiça entendeu que a exigência de tratamento leal dos dados pessoais obriga uma Administração Pública a informar os interessados sobre a transmissão desses dados a outra Administração Pública, com vista ao seu tratamento, por esta, na qualidade de destinatária dos referidos dados (
                              41
                           ).
                     
                  
         
         IV. Conclusão
      
      
               74.
            
            
               Atendendo às considerações precedentes, proponho ao Tribunal de Justiça que responda ao Finanzgericht Düsseldorf (Tribunal Tributário de Düsseldorf, Alemanha) da seguinte forma:
               
                        «1)
                     
                     
                        O artigo 24.o, n.o 1, segundo parágrafo, do Regulamento de Execução (UE) 2015/2447 da Comissão, de 24 de novembro de 2015, que estabelece as regras de execução de determinadas disposições do Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho que estabelece o Código Aduaneiro da União, deve ser interpretado no sentido de que:
                        
                                 –
                              
                              
                                 permite à Administração Aduaneira exigir a uma empresa que pretenda obter o estatuto de operador económico autorizado a comunicação do número de identificação fiscal e a menção do serviço de finanças competente para a liquidação do imposto sobre o rendimento, apenas para “a pessoa responsável pelo requerente ou que exerça controlo sobre a sua gestão e o funcionário responsável pelas questões aduaneiras do requerente”;
                              
                           
                                 –
                              
                              
                                 não permite alargar o pedido desses dados aos membros do conselho de supervisão do requerente ou aos seus outros gestores e funcionários.
                              
                           
                  
                        2)
                     
                     
                        O artigo 6.o, n.o 1, alíneas c) e e), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE, permite que uma autoridade aduaneira recolha e trate dados pessoais, como os números de identificação fiscal e a menção do serviço de finanças competente para a liquidação do imposto sobre o rendimento, do gestor e do responsável pelas questões aduaneiras de uma empresa que pretenda obter o estatuto de operador económico autorizado, mesmo que não tenham dado o seu consentimento, a fim de cumprir a obrigação legal de verificar a fiabilidade, para efeitos aduaneiros, de tal empresa, prevista no artigo 24.o, n.o 1, segundo parágrafo, do Regulamento de Execução 2015/2447.»
                     
                  
         (
            1
         )	Língua original: espanhol.
      (
            2
         )	Regulamento (UE) do Parlamento Europeu e do Conselho, de 9 de outubro de 2013, que estabelece o Código Aduaneiro da União (JO 2013, L 269, p. 1, a seguir «Código Aduaneiro»).
      (
            3
         )	Regulamento da Comissão, de 24 de novembro de 2015, que estabelece as regras de execução de determinadas disposições do Regulamento n.o 952/2013 (JO 2015, L 343, p. 558, a seguir «Regulamento 2015/2447»).
      (
            4
         )	Regulamento da Comissão, de 17 de dezembro de 2015, que completa o Regulamento (UE) n.o 952/2013 do Parlamento Europeu e do Conselho, no que diz respeito a regras transitórias para certas disposições do Código Aduaneiro da União nos casos em que os sistemas eletrónicos pertinentes não estejam ainda operacionais e que altera o Regulamento Delegado (UE) 2015/2446 (JO 2016, L 69, p. 1).
      (
            5
         )	Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (JO 2016, L 119, p. 1, a seguir «Regulamento 2016/679»)
      (
            6
         )	Regulamento do Conselho, de 12 de outubro de 1992, que estabelece o Código Aduaneiro Comunitário (JO 1992, L 302, p. 1).
      (
            7
         )	Regulamento da Comissão, de 2 de julho de 1993, que fixa determinadas disposições de aplicação do Regulamento n.o 2913/92 (JO 1993, L 253, p. 1).
      (
            8
         )	Diretiva do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31).
      (
            9
         )	Nos termos do n.o 5 do despacho de reenvio, «a demandante pede que [o tribunal] declare que […]».
      (
            10
         )	De todo o modo, a solução não se altera substancialmente com a aplicação de um ou da outra, dado que o Regulamento 2016/679 retoma muitos dos conteúdos da Diretiva 95/46, que substitui.
      (
            11
         )	O Tribunal de Justiça já declarou que «as disposições da Diretiva 95/46, na medida em que regulam o tratamento de dados pessoais suscetível de pôr em causa as liberdades fundamentais, e, em especial, o direito à vida privada, devem necessariamente ser interpretadas à luz dos direitos fundamentais garantidos pela Carta» (Acórdãos de 6 de outubro de 2015, Schrems, C‑362/14, EU:C:2015:650, n.o 38, e de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.o 39).
      (
            12
         )	No seio das mesmas encontram‑se as seguintes: acesso facilitado a processos aduaneiros simplificados; notificação prévia da realização de um controlo aduaneiro; menor número de controlos físicos e documentais do que para os outros operadores económicos no que respeita aos controlos aduaneiros; tratamento prioritário de remessas selecionadas para inspeção; possibilidade de escolher o local da inspeção; e benefícios «indiretos», não explicitamente refletidos na legislação aduaneira, mas que podem ter um efeito muito positivo nas operações comerciais gerais do AEO. Um AEO que preencha os critérios relativos à segurança e proteção significa que garante a segurança e a proteção da cadeia de abastecimento.
      (
            13
         )	Nos termos do artigo 38.o, n.o 4, do Código Aduaneiro, as autoridades aduaneiras de todos os Estados‑Membros reconhecem o estatuto de AEO concedido por um Estado‑Membro.
      (
            14
         )	Considero que, para além dos seus trabalhadores, a empresa requerente deve satisfazer os mesmos requisitos.
      (
            15
         )	O artigo 41.o, primeiro parágrafo, do Código Aduaneiro determina que «[a] Comissão adota, por meio de atos de execução, as modalidades de aplicação dos critérios a que se refere o artigo 39.o».
      (
            16
         )	O artigo 5.o do Regulamento Delegado 2016/341 prevê que os pedidos de estatuto de AEO devem ser apresentados através do formulário que figura no Anexo 6. Nesse anexo, o ponto 19 das notas explicativas determina que deve ser incluída a assinatura da pessoa que representa o requerente no seu conjunto, indicando em que qualidade atua, nome e carimbo. O requerente deve ainda fornecer as seguintes informações gerais: «Nomes dos principais dirigentes da empresa (diretores‑gerais, chefes de divisão, chefes de contabilidade, diretores financeiros, chefe de setor aduaneiro, etc.). Descrever os procedimentos adotados aquando da ausência temporária ou definitiva da pessoa competente».
      (
            17
         )	Por razões de simplificação, referir‑me‑ei, a seguir, apenas à atribuição do estatuto de AEO, mas as considerações são extensíveis à manutenção desse estatuto.
      (
            18
         )	V. Orientações da Comissão Europeia relativas aos operadores económicos autorizados, TAXUD/B2/047/2011‑REV6, de 11 de março de 2016, pp. 126 e 127, que apresentam as informações a fornecer pelas empresas nos questionários de autoavaliação do estatuto de AEO.
      (
            19
         )	Se o exercício dessa função for conjunto, o pedido de dados pode, naturalmente, estender‑se às pessoas que a exercem sob este regime de associação.
      (
            20
         )	É assim determinado «o conjunto da legislação constituído pelos seguintes elementos: a) O Código, bem como as respetivas disposições que o complementam ou executam, aprovadas a nível da União ou a nível nacional; b) A Pauta Aduaneira Comum; c) A legislação relativa ao estabelecimento do regime de franquias aduaneiras da União; d) Os acordos internacionais que contenham disposições em matéria aduaneira, na medida em que sejam aplicáveis na União».
      (
            21
         )	Entre outros, os impostos sobre o trânsito de mercadorias e serviços, que têm uma relação direta com a atividade económica do requerente (é o caso, por exemplo, do IVA), os impostos especiais sobre o consumo e os relativos à fiscalidade das empresas.
      (
            22
         )	Nas Orientações da Comissão Europeia relativas aos operadores económicos autorizados, TAXUD/B2/047/2011‑REV6, de 11 de março de 2016, p. 37, incluem‑se crimes como o da falência fraudulenta (insolvência); qualquer infração à legislação sanitária; infrações à legislação ambiental, como o movimento transfronteiriço ilegal de resíduos perigosos; a fraude em matéria de produtos e tecnologias de dupla utilização; a participação numa organização criminosa; o suborno e a corrupção; a cibercriminalidade; o branqueamento de capitais; a participação direta ou indireta em empresas ligadas a atividades terroristas; ou a participação direta ou indireta na promoção ou no apoio da migração ilegal para a UE.
      (
            23
         )	Despacho de reenvio, ponto 16.
      (
            24
         )	Acórdãos de 1 de outubro de 2015, Bara e o. (C‑201/14, EU:C:2015:638, n.o 29), e de 27 de setembro de 2017, Puškár (C‑73/16, EU:C:2017:725, n.o 41).
      (
            25
         )	Segundo jurisprudência constante, o respeito do direito à vida privada face ao tratamento de dados pessoais abrange todas as informações relativas a uma pessoa singular identificada ou identificável (Acórdãos de 9 de novembro de 2010, Volker und Markus Schecke e Eifert, C‑92/09 e C‑93/09, EU:C:2010:662, n.o 52, e de 17 de outubro de 2013, Schwartz,C‑291/12, EU:C:2013:670, n.o 26).
      (
            26
         )	Entre outras, segundo o despacho de reenvio, a pertença a uma comunidade religiosa com poder de cobrança de impostos; as datas de registo e cancelamento; o estado civil e a data de constituição ou extinção do mesmo; eventualmente, o NIF do cônjuge e dos filhos do trabalhador, no que respeita aos benefícios familiares.
      (
            27
         )	No Acórdão de 27 de setembro de 2017, Puškár (C‑73/16, EU:C:2017:725, n.o 34), o Tribunal de Justiça considerou como «tratamento de dados pessoais» a inclusão, numa lista, do nome, número nacional de identificação e NIF de pessoas que ocupam cargos diretivos como testas de ferro. Esta lista foi elaborada pela Direção das Finanças e pelo Serviço Criminal da Administração Tributária da República Eslovaca e a sua criação, bem como a respetiva utilização pelas diferentes instâncias fiscais constitui tratamento de dados.
      (
            28
         )	Acórdão de 1 de outubro de 2015, Bara e o. (C‑201/14, EU:C:2015:638, n.o 29).
      (
            29
         )	«A recolha, o registo, a organização, a conservação, a consulta e a utilização desses dados por um empregador assim como a sua transmissão por este às autoridades nacionais com competência para a fiscalização das condições de trabalho são, portanto, características de um “tratamento de dados pessoais”, na aceção do artigo 2.o, alínea b), da Diretiva 95/46» (sublinhado nosso) (Acórdão de 30 de maio de 2013, Worten, C‑342/12, EU:C:2013:355, n.o 20).
      (
            30
         )	Este artigo acrescenta que «o tratamento posterior para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, não é considerado incompatível com as finalidades iniciais, em conformidade com o artigo 89.o, n.o 1 (“limitação das finalidades”)».
      (
            31
         )	Segundo o tribunal a quo, «os números de identificação fiscal atribuídos pelo Serviço Federal dos Impostos dos empregados que trabalham para a recorrente (§139a, n.o 1, primeiro período, do Código Tributário) só podem ser recolhidos e armazenados com vista à cobrança do imposto sobre o rendimento das pessoas singulares através da retenção na fonte do imposto sobre os salários (§ 39e, n.o 4, primeira parte, ponto 1, do Código do Imposto sobre o Rendimento). Por conseguinte, os dados pessoais dos trabalhadores da recorrente, recolhidos para esse fim, não têm uma relação direta com a avaliação da sua fiabilidade para efeitos aduaneiros. Em especial, os dados pessoais dos trabalhadores da recorrente, recolhidos para fins de cobrança do imposto sobre o rendimento das pessoas singulares, através da retenção na fonte, não estão relacionados com a atividade económica da recorrente em si».
      (
            32
         )	Importa igualmente recordar que decorre do objetivo que consiste em assegurar um nível de proteção equivalente em todos os Estados‑Membros, prosseguindo pela Diretiva 95/46, que o artigo 7.o da mesma prevê uma lista exaustiva e taxativa dos casos em que o tratamento de dados pessoais pode ser considerado lícito [Acórdãos de 24 de novembro de 2011, Asociación Nacional de Establecimientos Financieros de Crédito (C‑468/10 e C‑469/10, EU:C:2011:777, n.o 30), e de 27 de setembro de 2017, Puškár (C‑73/16, EU:C:2017:725, n.o 105)]. Esta afirmação é aplicável à lista do artigo 6.o, n.o 1, do Regulamento 2016/679.
      (
            33
         )	Acórdãos de 20 de maio de 2003, Österreichischer Rundfunk e o. (C‑465/00, C‑138/01 e C‑139/01, EU:C:2003:294, n.o 64), e de 30 de maio de 2013, Worten (C‑342/12, EU:C:2013:355, n.o 36).
      (
            34
         )	Segundo a jurisprudência do Tribunal, «o requisito de que qualquer restrição ao exercício dos direitos fundamentais deve ser prevista por lei implica que a base legal que permite a ingerência nesses direitos deve definir ela mesma o alcance da restrição ao exercício do direito em causa» [v., neste sentido, Parecer 1/15 (Acordo PNR UE‑Canadá), de 26 de julho de 2017 (EU:C:2017:592, n.o 139), e Acórdão de 17 de dezembro de 2015, WebMindLicenses (C‑419/14, EU:C:2015:832, n.o 81)].
      (
            35
         )	O Acórdão de 27 de setembro de 2017, Puškár (C‑73/16, EU:C:2017:725, n.os 106 a 109), decidiu que uma lista de pessoas qualificadas de testas de ferro, pela Direção das Finanças da Eslováquia, elaborada para melhorar a cobrança de impostos e combater a fraude fiscal, se enquadrava no âmbito de aplicação do artigo 7.o, alínea e), da Diretiva 95/46 [disposição referida no artigo 6.o, n.o 1, alínea e), do Regulamento 2016/679], porque os objetivos prosseguidos eram, efetivamente, missões de interesse público.
      (
            36
         )	Nos termos do artigo 52.o, n.o 1, segundo período, da Carta, a restrição à proteção dos dados pessoais, que se encontra garantida no seu artigo 8.o, n.o 1, deve ser fixada com respeito pelo princípio da proporcionalidade e sem ultrapassar os limites do estritamente necessário [Acórdãos de 8 de abril de 2014, Digital Rights Ireland e o. (C‑293/12 e C‑594/12, EU:C:2014:238, n.o 52); de 11 de dezembro de 2014, Ryneš (C‑212/13, EU:C:2014:2428, n.o 28); e de 6 de outubro de 2015, Schrems (C‑362/14, EU:C:2015:650, n.o 92)].
      (
            37
         )	Noutros domínios do direito da União existem também casos em que a falta de idoneidade ou de integridade dos gestores de uma empresa têm impacto sobre a aptidão desta para exercer uma atividade económica ou para beneficiar de um privilégio. Por exemplo, a Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito e empresas de investimento, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO 2013, L 176, p. 338), no seu artigo 23.o, n.o 1, alínea b), salienta, no que diz respeito à aquisição de participações qualificadas em instituições de crédito, que «as autoridades competentes devem, a fim de garantir uma gestão sã e prudente da instituição de crédito objeto do projeto de aquisição e tendo em conta a influência provável do proposto adquirente na referida instituição de crédito, avaliar a idoneidade deste último e a solidez financeira do projeto de aquisição de acordo com o seguinte conjunto de critérios: […] b) Idoneidade, conhecimentos, competências e experiência, nos termos previstos no artigo 91.o, n.o 1, do membro do órgão de administração e do membro da direção de topo que dirigirão a atividade da instituição de crédito em resultado da aquisição proposta». V., a este respeito, minhas Conclusões de 27 de junho de 2018 no processo Berlusconi e Fininvest (C‑219/17, EU:C:2018:502).
      (
            38
         )	Processo C‑178/16 (EU:C:2017:487, n.o 54). No n.o 34 do Acórdão de 20 de dezembro de 2017 (EU:C:2017:1000), proferido no referido processo, o Tribunal de Justiça declarou que «o direito da União parte da premissa de que as pessoas coletivas atuam por intermédio dos seus representantes. O comportamento contrário à honorabilidade profissional destes pode, portanto, constituir um fator relevante para apreciar a honorabilidade profissional de uma empresa. Assim, os Estados‑Membros podem perfeitamente ter em conta, no âmbito do exercício da sua competência para fixar as condições de aplicação das causas de exclusão facultativas, de entre os elementos relevantes para apreciar a integridade da empresa proponente, a existência eventual de condutas de administradores dessa empresa contrárias à honorabilidade profissional».
      (
            39
         )	Quanto ao respeito pelo princípio da proporcionalidade, a proteção do direito fundamental ao respeito pela reserva da vida privada ao nível da União exige, em conformidade com a jurisprudência constante do Tribunal de Justiça, que as derrogações à proteção dos dados pessoais e as suas limitações devem ocorrer na estrita medida do necessário [Acórdãos de 8 de abril de 2014, Digital Rights Ireland e o. (C‑293/12 e C‑594/12, EU:C:2014:238, n.os 51 e 52); de 6 de outubro de 2015, Schrems (C‑362/14, EU:C:2015:650, n.o 92); de 21 de dezembro de 2016, Tele2 Sverige e Watson e o. (C‑203/15 e C‑698/15, EU:C:2016:970, n.o 96); e de 27 de setembro de 2017, Puškár (C‑73/16, EU:C:2017:725, n.o 112)].
      (
            40
         )	Na audiência, discutiu‑se a questão de saber se a apresentação, pela empresa, de certificados de conformidade fiscal do seu diretor e do seu responsável pelos assuntos aduaneiros poderia constituir uma opção menos restritiva. Conforme explicou o Serviço Aduaneiro Principal, não é esse o caso, uma vez que esses certificados devem ser solicitados diretamente e sob a sua responsabilidade por essas pessoas e, além disso, contêm mais informações do que o estritamente necessário para efeitos do estatuto de AEO. Cabe ao órgão jurisdicional de reenvio apreciar estes, ou outros, argumentos sobre esta questão.
      (
            41
         )	Acórdão de 1 de outubro de 2015, Bara e o. (C‑201/14, EU:C:2015:638, n.o 40).