Sentencia Supranacional Nº C-496/17, Tribunal de Justicia de la Union Europea, de 16 de Enero de 2019

Fundamentos

Edición provisional

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Tercera)

de 16 de enero de 2019 (*)

«Procedimiento prejudicial — Unión aduanera — Código aduanero de la Unión — Artículo 39 — Estatuto de operador económico autorizado — Reglamento de Ejecución (UE) 2015/2447 — Artículo 24, apartado 1, párrafo segundo — Solicitante que no sea una persona física — Formulario — Recogida de datos personales — Directiva 95/46/CE — Artículos 6 y 7 — Reglamento (UE) 2016/679 — Artículos 5 y 6 — Tratamiento de datos personales»

En el asunto Câ€'496/17,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Finanzgericht Düsseldorf (Tribunal de lo Tributario de Düsseldorf, Alemania), mediante resolución de 9 de agosto de 2017, recibida en el Tribunal de Justicia el 17 de agosto de 2017, en el procedimiento entre

Deutsche Post AG

y

Hauptzollamt Köln,

EL TRIBUNAL DE JUSTICIA (Sala Tercera),

integrado por el Sr. M. Vilaras (Ponente), Presidente de la Sala Cuarta, en funciones de Presidente de la Sala Tercera, y los Sres. J. Malenovský, L. Bay Larsen, M. Safjan y D. Šváby, Jueces,

Abogado General: Sr. M. Campos Sánchez-Bordona;

Secretario: Sra. R. ÅžereÅŸ, administradora;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 5 de julio de 2018;

consideradas las observaciones presentadas:

–        en nombre de Deutsche Post AG, por el Sr. U. Möllenhoff, Rechtsanwalt;

–        en nombre del Hauptzollamt Köln, por los Sres. W. Liebe y M. Greve-Giesow y por la Sra. M. Hageroth, en calidad de agentes;

–        en nombre del Gobierno español, por el Sr. S. Jiménez García y la Sra. V. Ester Casas, en calidad de agentes;

–        en nombre del Gobierno italiano, por la Sra. G. Palmieri, en calidad de agente, asistida por el Sr. G. Albenzio, avvocato dello Stato;

–        en nombre del Gobierno húngaro, por los Sres. M.Z. Fehér y G. Koós y por la Sra. R. Kissné Berta, en calidad de agentes;

–        en nombre de la Comisión Europea, por el Sr. B.-R. Killmann y la Sra. F. Clotuche-Duvieusart, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 17 de octubre de 2018;

dicta la siguiente

Sentencia

1        La petición de decisión prejudicial tiene por objeto la interpretación del artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución (UE) 2015/2447 de la Comisión, de 24 de noviembre de 2015, por el que se establecen normas de desarrollo de determinadas disposiciones del Reglamento (UE) n.º 952/2013 del Parlamento Europeo y del Consejo por el que se establece el código aduanero de la Unión (DO 2015, L 343, p. 558).

2        Esta petición se ha presentado en el marco de un litigio entre Deutsche Post AG y la Hauptzollamt Köln (Oficina Aduanera Central de Colonia, Alemania; en lo sucesivo, «Oficina Central»), en relación con la naturaleza y la extensión de los datos personales de terceros que debe presentar una empresa que disfruta del estatuto de operador económico autorizado previsto en el artículo 39 del Reglamento (UE) n.º 952/2013 del Parlamento Europeo y del Consejo, de 9 de octubre de 2013, por el que se establece el código aduanero de la Unión (DO 2013, L 269, p. 1; en lo sucesivo, «código aduanero»).

 Marco jurídico

 Derecho de la Unión

 Legislación aduanera

3        El título I del código aduanero incluye un capítulo 2, titulado «Derechos y obligaciones de las personas en el marco de la legislación aduanera», que contiene una sección 4, titulada «Operador económico autorizado» (en lo sucesivo, «AEO»), del que forman parte los artículos 38 a 41.

4        El artículo 38 de dicho código establece:

«1.      Todo operador económico establecido en el territorio aduanero de la Unión que cumpla los criterios dispuestos en el artículo 39 podrá solicitar el estatuto de [AEO].

Dicho estatuto será concedido por las autoridades aduaneras, en su caso previa consulta a otras autoridades competentes, y se someterá a supervisión.

2.      El estatuto de [AEO] consistirá en los siguientes tipos de autorización:

a)      la de [AEO] de simplificaciones aduaneras que permitirá a su titular beneficiarse de determinados procedimientos simplificados en virtud de la legislación aduanera; o

b)      la de [AEO] de seguridad y protección que concederá a su titular facilidades en materia de seguridad y protección.

[...]

5.      Una vez reconocido el estatuto de [AEO] de simplificaciones aduaneras y siempre que se cumplan los requisitos fijados por la legislación aduanera para un tipo específico de procedimiento simplificado, las autoridades aduaneras autorizarán al operador a beneficiarse de dicho procedimiento. Las autoridades aduaneras no examinarán de nuevo los criterios que ya hayan sido examinados al conceder el estatuto de [AEO].

6.      El [AEO] contemplado en el apartado 2 recibirá un trato más favorable que los demás operadores económicos por lo que respecta a los controles aduaneros con arreglo al tipo de autorización concedida, en particular menos controles físicos y documentales.

[...]»

5        El artículo 39 del citado código dispone:

«Los criterios para la concesión del estatuto de [AEO] serán los siguientes:

a)      inexistencia de infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal, en particular que no haya habido condena alguna por un delito grave en relación con la actividad económica del solicitante;

[...]»

6        A tenor del artículo 41, párrafo primero, del mismo código:

«La Comisión adoptará, mediante actos de ejecución, las modalidades de aplicación de los criterios a los que se refiere el artículo 39.»

7        El título I del Reglamento de Ejecución 2015/2447 incluye un capítulo 2, titulado «Derechos y obligaciones de las personas en el marco de la legislación aduanera», que contiene una sección 3, titulada «Operador económico autorizado», de la que forman parte los artículos 24 a 35.

8        Conforme al artículo 24, apartado 1, párrafo segundo, de ese Reglamento:

«Cuando el solicitante no sea una persona física, el criterio establecido en el artículo 39, letra a), del Código [aduanero] se considerará cumplido si, durante los tres últimos años, ninguna de las personas siguientes ha cometido infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal ni ha recibido condena alguna por un delito grave en relación con su actividad económica:

a)      solicitante;

b)      la persona encargada del solicitante o que controle su dirección;

c)      el empleado encargado de los asuntos aduaneros del solicitante.»

9        El considerando 9 del Reglamento Delegado (UE) 2016/341 de la Comisión, de 17 de diciembre de 2015, por el que se completa el Reglamento n.º 952/2013 en lo que se refiere a las normas transitorias para determinadas disposiciones del código aduanero de la Unión mientras no estén operativos los sistemas electrónicos pertinentes y por el que se modifica el Reglamento Delegado (UE) 2015/2446 (DO 2016, L 69, p. 1), indica:

«Habida cuenta de que el sistema electrónico necesario para la aplicación de las disposiciones del Código [aduanero] que regulan la solicitud y la autorización relativas a la concesión del estatuto de [AEO] está aún pendiente de mejora, es preciso seguir utilizando los medios empleados actualmente, tanto en soporte papel como en formato electrónico, hasta que se produzca esa mejora.»

10      El artículo 1 de dicho Reglamento dispone:

«1.      El presente Reglamento establece medidas transitorias respecto de los medios de intercambio y almacenamiento de información a que se refiere el artículo 278 del Código [aduanero] hasta que estén operativos los sistemas electrónicos necesarios para la aplicación de las disposiciones [de dicho] Código.

2.      Los requisitos en materia de datos, los formatos y los códigos que se aplicarán durante los períodos transitorios establecidos en el presente Reglamento, el Reglamento Delegado (UE) 2015/2446 [de la Comisión, de 28 de julio de 2015, por el que se completa el Reglamento n.º 952/2013 con normas de desarrollo relativas a determinadas disposiciones del código aduanero (DO 2015, L 343, p. 1)] y el Reglamento de Ejecución [2015/2447], se establecen en los anexos del presente Reglamento.»

11      El Reglamento Delegado 2016/341 incluye un capítulo 1, titulado «Disposiciones generales», que contiene una sección 3, titulada «Solicitud del estatuto de AEO», dentro de la cual el artículo 5 de este Reglamento establece:

«1.      Hasta la fecha de mejora del sistema AEO a que se refiere el anexo de la Decisión de Ejecución 2014/255/UE [de la Comisión, de 29 de abril de 2014, por la que se establece el Programa de Trabajo relativo al código aduanero (DO 2014, L 134, p. 46)], las autoridades aduaneras podrán permitir la utilización de medios distintos de las técnicas de tratamiento electrónico de datos en relación con las solicitudes y las decisiones relativas a AEO o con cualquier acontecimiento posterior que pueda afectar a la solicitud o decisión iniciales.

2.      En los casos contemplados en el apartado 1 del presente artículo, será de aplicación lo siguiente:

a)      las solicitudes del estatuto de AEO se presentarán utilizando el formato de formulario que figura en el anexo 6, y

[...]»

12      El anexo 6 del citado Reglamento incluye una parte titulada «Notas explicativas». El punto 19 de esas notas, relativo al nombre del solicitante, a la fecha y a la firma, indica, en particular lo siguiente:

«[...]

Número de anexos: el solicitante debe facilitar la información general siguiente:

1.      Lista de los principales propietarios y accionistas, indicando sus nombres, apellidos y dirección, y su porcentaje de participación. Lista de los miembros del consejo de administración. Debe indicarse si las autoridades aduaneras disponen de antecedentes sobre los propietarios debido a incumplimientos.

2.      Persona responsable de los asuntos aduaneros en la empresa.

[...]

8.      Nombres y apellidos de los directivos principales (directores gerentes, jefes de sección, responsables de contabilidad, jefe de la sección de aduanas, etc.). Descripción de los procedimientos seguidos cuando el empleado competente está ausente, provisional o permanentemente.

9.      Nombre y cargo en la empresa del solicitante con experiencia concreta en aduanas. Evaluación del nivel de conocimientos de estas personas sobre el uso de la informática para la realización de trámites aduaneros y comerciales y asuntos comerciales en general.

[...]»

 Derecho a la protección de los datos personales

13      El artículo 2 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), establecía:

«A efectos de la presente Directiva, se entenderá por:

a)      “datos personales”, toda información sobre una persona física identificada o identificable (el “interesado”). Se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social;

b)      “tratamiento de datos personales” (“tratamiento”): cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción;

[...]»

14      El artículo 6 de dicha Directiva tenía el siguiente tenor:

«1.      Los Estados miembros dispondrán que los datos personales sean:

a)      tratados de manera leal y lícita;

b)      recogidos con fines determinados, explícitos y legítimos, y no sean tratados posteriormente de manera incompatible con dichos fines; [...]

c)      adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente;

[...]

2.      Corresponderá a los responsables del tratamiento garantizar el cumplimiento de lo dispuesto en el apartado 1.

15      A tenor del artículo 7 de la citada Directiva:

«Los Estados miembros dispondrán que el tratamiento de datos personales solo pueda efectuarse si:

[...]

c)      es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o

[...]»

16      El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1), entró en vigor el 24 de mayo de 2016. Derogó la Directiva 95/46 con efectos a partir del 25 de mayo de 2018.

17      El artículo 4 de este Reglamento prevé, en particular, las siguientes definiciones:

«A efectos del presente Reglamento se entenderá por:

1)      “datos personales”: toda información sobre una persona física identificada o identificable [...]; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2)      “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

[...]»

18      El artículo 5 del citado Reglamento, titulado «Principios relativos al tratamiento», establece:

«1.      «Los datos personales serán:

a)      tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);

b)      recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; [...]

c)      adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);

[...]

2.      El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).

19      El artículo 6 del mismo Reglamento, titulado «Licitud del tratamiento», dispone:

«1.      El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

[...]

c)      el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

[...]

3.      La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a)      el derecho de la Unión, o

b)      el derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica [...]. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

[...]»

 Derecho alemán

20      El artículo 139a, apartado 1, de la Abgabenordnung (Ley tributaria alemana; en lo sucesivo, «AO»), en su versión aplicable al litigio principal, preceptúa:

«La Oficina Tributaria Federal Central asignará a cada sujeto pasivo, para su inequívoca identificación en los procedimientos tributarios, un código único y permanente (código de identificación), que deberá ser facilitado por el sujeto pasivo o por el tercero que deba comunicar datos del mismo a las autoridades tributarias, en toda consulta, declaración o comunicación con las autoridades tributarias. El código de identificación consistirá en una secuencia numérica que no pueda formarse ni deducirse a partir de otros datos del sujeto pasivo, y cuya última cifra será un dígito de control [...]»

21      El artículo 139b de la AO, titulado «Número de identificación», dispone:

«(1)      Las personas físicas solo podrán recibir un único número de identificación [...]

(2)      Las autoridades tributarias solo podrán obtener y utilizar el número de identificación cuando sea necesario para el cumplimiento de sus funciones legales o cuando expresamente lo autorice u ordene una disposición legal. Otros organismos públicos o privados podrán:

1.      obtener y utilizar el número de identificación solamente cuando sea necesario para la comunicación de datos entre ellos y las autoridades tributarias o cuando expresamente lo autorice u ordene una disposición legal, [...]

3.      utilizar el número de identificación de un sujeto pasivo lícitamente obtenido para el cumplimiento de sus obligaciones de información frente a las autoridades tributarias, siempre que la obligación de comunicación incumba al propio sujeto pasivo y la obtención y utilización del número de identificación estuviera amparada por el punto 1 [...]

[...]»

22      El artículo 38, apartados 1 y 3, de la Einkommensteuergesetz (Ley del impuesto sobre la renta; en lo sucesivo, «EStG»), en su versión aplicable al litigio principal, tiene la siguiente redacción:

«(1)      En cuanto a los rendimientos del trabajo dependiente, el impuesto sobre la renta se recaudará mediante retención practicada sobre el salario (impuesto sobre los salarios), siempre que el salario sea pagado por un empresario [...]

[...]

(3)      El empresario retendrá el impuesto sobre los salarios por cuenta del trabajador en cada pago de salarios [...]».

23      Según el artículo 39, apartado 1, de la EStG, titulado «Elementos de la retención del impuesto sobre los salarios»:

«Para efectuar la retención del impuesto sobre los salarios se determinarán, a instancia del trabajador, los elementos de la retención [...]»

24      A tenor del artículo 39e de la EStG, titulado «Procedimiento para la determinación y aplicación de los elementos de la retención del impuesto sobre los salarios»:

«(1)      La Oficina Tributaria Federal Central determinará en principio de forma automática, como elementos de la retención del impuesto sobre los salarios (artículo 39, apartado 4, primera frase, puntos 1 y 2), la clase impositiva de cada trabajador y, para los hijos relevantes en los casos de las clases I a IV, el número de desgravaciones por cargas familiares [...] En caso de que la oficina tributaria determine elementos de la retención con arreglo al artículo 39, se los comunicará a la Oficina Tributaria Federal Central a fin de que los ponga a disposición de la consulta automática por el empresario [...]

(2)      La Oficina Tributaria Federal Central registrará los elementos de la retención para ponerlos a disposición de la consulta automática por el empresario, indicando el número de identificación y añadiendo, para cada sujeto pasivo, a los datos mencionados en el artículo 139b, apartado 3, de la [AO], los siguientes:

1.      pertenencia legal a una confesión religiosa con facultad de recaudación tributaria, así como la fecha de alta y de baja,

2.      estado civil y fecha de constitución o extinción del estado civil; para las personas casadas, el número de identificación del cónyuge;

3.      los hijos, con su número de identificación [...]

[...]

(4)      Al iniciar una relación laboral, el trabajador deberá comunicar a cada uno de sus empresarios, con el fin de poder consultar los elementos de la retención:

1.      su número de identificación y su fecha de nacimiento [...]

[...]

Al inicio de la relación laboral, el empresario deberá recabar telemáticamente de la Oficina Tributaria Federal Central los datos electrónicos de la retención relativos al trabajador e incluirlos en la cuenta salarial del trabajador.»

 Litigio principal y cuestión prejudicial

25      Deutsche Post disfrutaba del estatuto de destinatario autorizado y expedidor autorizado y de una autorización para utilizar una garantía global, constitutivos de simplificaciones en el marco del régimen aduanero de la Unión.

26      Al haber modificado el código aduanero los requisitos individuales de concesión de autorizaciones en materia aduanera, la Oficina Central, mediante escrito de 19 de abril de 2017, requirió a Deutsche Post para que respondiese al formulario de autoevaluación, en el que debía identificar de manera precisa a los miembros de los consejos consultivos y de los consejos de supervisión, a sus principales directivos (directores gerentes, directores de departamento, director de contabilidad, director del departamento de aduanas, etc.) y a los responsables de la gestión de los asuntos aduaneros o a las personas que se ocupen de asuntos aduaneros, transmitiendo, en particular, los números de identificación fiscal de cada una de estas personas físicas y las coordenadas de las oficinas tributarias competentes respecto a estas.

27      La Oficina Central precisó a Deutsche Post que, de no prestar la colaboración necesaria, no sería posible determinar si se cumplían los requisitos de autorización previstos en el código aduanero y que, en ese caso o si ya no reunía aquellos requisitos, revocaría las autorizaciones de las que disfrutaba.

28      Mediante el recurso que ha interpuesto ante el órgano jurisdiccional remitente, el Finanzgericht Düsseldorf (Tribunal de lo Tributario de Düsseldorf, Alemania), Deutsche Poste se opone a la obligación de comunicar a la Oficina Central los números de identificación fiscal de las personas afectadas y las coordenadas de las oficinas tributarias competentes en relación con estas.

29      Alega que el número de personas de su empresa afectadas por las preguntas formuladas por la Oficina Central es muy elevado, que una parte de esas personas no están dispuestas a consentir la comunicación de los datos personales que les conciernen y que ese número es mayor que el de las personas mencionadas en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447. Estima que la situación de sus trabajadores en relación con el impuesto sobre la renta no permite apreciar si se han cometido infracciones graves o reiteradas de la normativa aduanera o tributaria o delitos graves en el marco de su actividad económica. A su juicio, la recogida de los números de identificación fiscal no es ni necesaria ni apropiada para determinar su fiabilidad a la luz del Derecho aduanero, dado que la comprobación de la situación fiscal personal del conjunto de personas afectadas es desproporcionado en relación con dicho objetivo.

30      La Oficina Central solicita que se desestime el recurso. Alega, principalmente que la comunicación de los números de identificación fiscal es necesaria para identificar debidamente a las personas correspondientes cuando se realice una consulta a las oficinas tributarias competentes, que el intercambio de información está previsto solo, caso por caso, si la citada Oficina dispone de datos relativos a infracciones graves y reiteradas de la normativa tributaria, dado que no se tienen en cuenta los procedimientos de sanciones pecuniarias administrativas o los procedimientos penales archivados, y que las infracciones reiteradas de dicha normativa se toman en cuenta si su frecuencia guarda una relación desproporcionada con el carácter y las dimensiones de la actividad comercial del solicitante de autorización. Estima que el grupo de personas a las que se refieren las preguntas es conforme con la legislación aduanera de la Unión.

31      Según el órgano jurisdiccional remitente, la solución del litigio principal depende de la interpretación del artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447, a la luz del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y del Reglamento 2016/679, dado que los números de identificación fiscal de las personas afectadas y las coordenadas de las oficinas tributarias competentes en relación a estas son datos personales.

32      Por otra parte, se pregunta si la comunicación de tales datos es un tratamiento lícito según el Reglamento de Ejecución 2015/2447. Por otra parte, duda de la necesidad de recurrir a los datos personales de los trabajadores y de los miembros del consejo de supervisión de Deutsche Post, que se han recabado para la recaudación del impuesto sobre la renta mediante retenciones de los salarios.

33      El órgano jurisdiccional remitente considera que los datos personales de esos trabajadores no tienen una relación directa con la apreciación de la fiabilidad de Deutsche Post con arreglo a las disposiciones del Derecho aduanero y no tienen ninguna relación con su actividad económica.

34      El citado órgano jurisdiccional se pregunta si, a la luz del artículo 8, apartado 1, de la Carta de los Derechos Fundamentales y del principio de proporcionalidad, la administración aduanera puede requerir datos personales, como los números de identificación fiscal de las personas afectadas y las coordenadas de las oficinas tributarias competentes para la liquidación del impuesto sobre la renta de dichas personas. Señala que el anexo 6 del Reglamento Delegado 2016/341 no menciona a los miembros del consejo de supervisión y que, al igual que los directores de departamento y los directores contables, no trabajan en asuntos aduaneros.

35      En estas circunstancias, el Finanzgericht Düsseldorf (Tribunal de lo Tributario de Düsseldorf) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:

«¿Debe interpretarse el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución [2015/2447], en el sentido de que permite a la autoridad aduanera requerir al solicitante que comunique los números de identificación fiscal asignados por la Oficina Tributaria Federal Central alemana para la recaudación del impuesto sobre la renta y las oficinas tributarias competentes para la liquidación del impuesto sobre la renta de los miembros del consejo de supervisión del solicitante y de las personas que actúen para el mismo como directores gerentes, directores de departamento, director contable, director del departamento de aduanas y los responsables de asuntos aduaneros y demás personas que trabajen en asuntos aduaneros?»

 Sobre la cuestión prejudicial

 Observaciones preliminares

36      Para proporcionar elementos de respuesta a la cuestión planteada, las partes interesadas, a excepción de la Comisión, se basan en el Reglamento 2016/679, al que se remite también el órgano jurisdiccional remitente.

37      La Comisión alega, a este respecto, que dado que los hechos del litigio principal se produjeron en el mes de abril de 2017, la Directiva 95/46 es aplicable para resolver el litigio principal.

38      No obstante, teniendo en cuenta el carácter declarativo del recurso ante el juez nacional (Feststellungsklage), no se excluye que dicho Reglamento se aplique ratione temporis para resolver el litigio principal, al no haberse podido aclarar este punto en la vista.

39      Por ello, procede responder a la cuestión planteada tanto conforme a la Directiva 95/46 como al Reglamento 2016/679.

 Sobre el fondo

40      Mediante su cuestión, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447, en relación con la Directiva 95/46 y el Reglamento 2016/679, debe interpretarse en el sentido de que la autoridad aduanera puede requerir al solicitante del estatuto de AEO que comunique los números de identificación fiscal, asignados para la recaudación del impuesto sobre la renta, de los miembros del consejo de supervisión del solicitante y de las personas que actúen para el mismo como directores gerentes, directores de departamento, director contable, director del departamento de aduanas y los responsables de asuntos aduaneros y demás personas que trabajen en asuntos aduaneros así como las coordenadas de las oficinas tributarias competentes para todas estas personas.

41      En primer lugar, debe subrayarse que el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 prevé que, cuando el solicitante del estatuto de AEO no sea una persona física, el criterio establecido en el artículo 39, letra a), del código aduanero se considerará cumplido si, durante los tres últimos años, ninguna de las personas que enumera ha cometido infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal ni ha recibido condena alguna por un delito grave en relación con su actividad económica.

42      Se trata únicamente del solicitante, la persona encargada de este o que controle su dirección y el empleado encargado de los asuntos aduaneros del solicitante. De la lectura de esta disposición, dicha lista parece exhaustiva.

43      Por tanto, no puede admitirse que el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 pueda interpretarse en el sentido de que se refiere a personas físicas distintas de la persona encargada del solicitante, de la que controle su dirección o del encargado de los asuntos aduaneros del solicitante. Por tanto, esta disposición no concierne a los miembros de los consejos consultivos y consejos de supervisión de una persona jurídica, los directores de departamento, a excepción de los responsables de los asuntos aduaneros del solicitante, responsables de contabilidad, personas que se ocupen de asuntos aduaneros.

44      Por su parte, a los directores gerentes, se les puede imponer el cumplimiento de los requisitos establecidos en la referida disposición si, en una situación como la del litigio principal, debe considerárseles encargados del solicitante que controlan su dirección.

45      Es cierto que el Reglamento Delegado 2016/341 prevé, en el punto 19 de las notas explicativas que figuran en su anexo 6, que el solicitante del estatuto de AEO proporcione, en anexo al formulario de solicitud de dicho estatuto que cumplimenta, los nombres y cargos de una lista más amplia de personas físicas que la que figura en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447.

46      Sin embargo, basta señalar, a este respecto, que no puede interpretarse que el Reglamento Delegado 2016/341 tenga por objeto o por efecto derogar el artículo 41, párrafo primero, del código aduanero, según el cual la Comisión adoptará, mediante actos de ejecución, las modalidades de aplicación de los criterios a los que se refiere el artículo 39 de dicho código que deban examinarse para determinar si se puede conceder a un solicitante el estatuto de AEO.

47      Por ello, el Reglamento Delegado 2016/341, no puede influir en el alcance del artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447.

48      Asimismo, el hecho de que esta disposición obligue a cumplir las exigencias que establece a «la persona» encargada del solicitante o que controle su dirección y al «empleado» encargado de los asuntos aduaneros de este no puede llevar a considerar que esas exigencias solo afectan a una sola persona encargada del solicitante o que controle su dirección y a un solo empleado encargado de los asuntos aduaneros dentro de esta.

49      En efecto, no puede excluirse que dentro de la organización de una empresa, varias personas físicas sean coencargadas de este o que controlen conjuntamente su dirección y que varias otras personas físicas estén encargadas de los asuntos aduaneros, en particular, en el ámbito territorial.

50      Por consiguiente, las personas físicas a que se refiere el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 son todas aquellas que, dentro de la organización del solicitante, son las personas encargadas de este o que controlan su dirección así como los empleados encargados de los asuntos aduaneros dentro de esta.

51      En segundo lugar, para que las autoridades aduaneras puedan responder a una solicitud de estatuto de AEO, dicha disposición implica que puedan acceder a datos que permitan acreditar que ninguna de las personas físicas que designa ha cometido infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal ni se le ha impuesto condena alguna por un delito grave en relación con su actividad económica.

52      En el presente caso, las autoridades aduaneras alemanas requieren la comunicación de los números de identificación fiscal de las personas físicas enumeradas en el apartado 50 de la presente sentencia y las coordenadas de las oficinas tributarias competentes respecto a estas personas.

53      En tal situación, es necesario, si la práctica de estas autoridades implica un tratamiento de datos personales, en el sentido del artículo 2, letra a), de la Directiva 95/46 o del artículo 4, punto 2, del Reglamento 2016/679, que se respete la normativa de la Unión relativa a la protección de dichos datos.

54      A este respecto, dicha normativa implica que el respeto del derecho a la vida privada en lo que atañe al tratamiento de los datos personales se aplica a toda información sobre una persona física identificada o identificable (véanse, en este sentido, las sentencias de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, Câ€Â'92/09 y Câ€Â'93/09, EU:C:2010:662, apartado 52, y de 17 de octubre de 2013, Schwarz, Câ€Â'291/12, EU:C:2013:670, apartado 26).

55      De la jurisprudencia del Tribunal de Justicia resulta también que los datos fiscales constituyen «datos personales», en el sentido del artículo 2, letra a), de la Directiva 95/46 (véanse, en este sentido, las sentencias de 1 de octubre de 2015, Bara y otros, Câ€Â'201/14, EU:C:2015:638, apartado 29, y de 27 de septiembre de 2017, Puškár, Câ€Â'73/16, EU:C:2017:725, apartado 41).

56      Un número de identificación fiscal constituye, por su propia naturaleza, un dato fiscal relativo a una persona física identificada o identificable y, por tanto, un dato personal. Además, debido a la relación establecida entre el número de identificación fiscal de una persona identificada con precisión y la información relativa a la oficina tributaria competente respecto a tal persona, realizada por las autoridades aduaneras, esa información debe considerarse también un dato personal.

57      Pues bien, todo tratamiento de datos personales debe ser conforme, por una parte, con los principios relativos a la calidad de los datos enunciados en el artículo 6 de la Directiva 95/46 o al artículo 5 del Reglamento 2016/679 y, por otra, con alguno de los principios relativos a la legitimación del tratamiento de datos enumerados en el artículo 7 de dicha Directiva o en el artículo 6 de ese Reglamento (véanse, en este sentido, las sentencias de 20 de mayo de 2003, Österreichischer Rundfunk y otros, Câ€Â'465/00, Câ€Â'138/01 y Câ€Â'139/01, EU:C:2003:294, apartado 65, y de 13 de mayo de 2014, Google Spain y Google, Câ€Â'131/12, EU:C:2014:317, apartado 71).

58      Más en concreto, los datos personales, con arreglo al artículo 6, apartado 1, letras b) y c), de la Directiva 95/46 o del artículo 5, apartado 1, letras b) y c), del Reglamento 2016/679, serán recogidos con fines determinados, explícitos y legítimos, así como adecuados, pertinentes y limitados a lo necesario en relación con dichos fines, su tratamiento será lícito, según el artículo 7, letra c), de dicha Directiva o el artículo 6, apartado 1, letra c), de ese Reglamento, si es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento.

59      Asimismo, debe recordarse que la exigencia de tratamiento leal de los datos personales establecida en el artículo 6 de la Directiva 95/46 o en el artículo 5 del Reglamento 2016/679 implica la obligación de informar a los interesados de la recogida de esos datos por las autoridades aduaneras para su tratamiento posterior (véase, en este sentido, la sentencia de 1 de octubre de 2015, Bara y otros, Câ€Â'201/14, EU:C:2015:638, apartado 34).

60      Por lo que respecta a la situación objeto del litigio principal, resulta, por una parte, que los números de identificación fiscal de las personas físicas fueron recogidos, en primer término, por el empleador de dichas personas para garantizar el cumplimiento de la normativa relativa al impuesto sobre la renta y, más concretamente, la obligación de recaudar mediante retención el impuesto calculado teniendo en cuenta los ingresos del trabajo por cuenta ajena de cada una de estas personas físicas.

61      Po otra parte, la recogida posterior de estos datos personales por las autoridades aduaneras para decidir sobre una solicitud de estatuto de AEO parece necesaria para el cumplimiento de la obligación legal a que están sujetas esas autoridades en virtud del artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 y de los requisitos que establece para la concesión de ese estatuto. En esa medida, los referidos datos se recogen, y, por tanto, se tratan, para finalidades determinadas, explícitas y legítimas.

62      Lo mismo cabe decir por lo que respecta a la recogida, por las autoridades aduaneras, de las coordenadas de las oficinas tributarias competentes para la liquidación del impuesto sobre la renta de las referidas personas físicas, dado que tal recogida tiene también por objetivo permitir a dichas autoridades responder a una solicitud de estatuto de AEO.

63      No obstante, es preciso, en una situación como la del litigio principal, que los datos recogidos por las autoridades aduaneras, a saber, los números de identificación fiscal de personas físicas y las coordenadas de las oficinas tributarias competentes respecto a estas para la recaudación del impuesto sobre la renta sean, como resulta del apartado 58 de la presente sentencia, adecuados, pertinentes y limitados a lo necesario a la luz de los objetivos para los que se recabaron dichos datos personales.

64      Como señaló el Abogado General en el punto 66 de sus conclusiones, el hecho de que las autoridades aduaneras concedan el estatuto de AEO a un operador equivale, en la práctica, a delegar en este una parte de las funciones de control de la normativa aduanera. Por ello, es preciso que, antes de conceder ese estatuto, que dichas autoridades puedan disponer de información sobre la fiabilidad del solicitante del citado estatuto en materia de respeto de la normativa aduanera y sobre la de las personas físicas mencionadas en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 en cuanto a su respeto de la legislación aduanera y de las disposiciones fiscales que les conciernen.

65      Por ello, la recogida de los números de identificación fiscal exclusivamente de las personas físicas mencionadas en ese artículo así como de las coordenadas de las oficinas tributarias competentes respecto a estas es una medida adecuada y pertinente para permitir a las autoridades aduaneras comprobar si una de ellas ha cometido una de las infracciones enumeradas en el citado artículo.

66      Asimismo, los datos personales así recogidos por dichas autoridades parecen limitados a lo necesario para alcanzar el fin perseguido en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447, puesto que se trata de datos restringidos que, por sí mismos, no revelan a las autoridades aduaneras información sensible sobre la situación personal, como la situación matrimonial o las creencias religiosas, o los ingresos de las personas físicas a las que conciernen.

67      Si, como señala el órgano jurisdiccional remitente la recogida de los números de identificación fiscal de las personas físicas enumeradas en dicho artículo y de las coordenadas de las oficinas tributarias competentes respecto a estas puede, en principio, permitir a las autoridades aduaneras acceder a datos personales que no tienen ninguna relación con la actividad económica del solicitante del estatuto de AEO, procede observar que las infracciones a las disposiciones tributarias, mencionadas en dicho artículo, no se limitan a las relacionadas con la actividad del solicitante del estatuto de AEO.

68      A este respecto, parece justificado que, antes de conceder tal estatuto a un solicitante, lo cual, como resulta del apartado 64 de la presente sentencia, equivale a delegar en él el ejercicio de funciones propias de las autoridades aduaneras, dichas autoridades deban comprobar no solo si el solicitante cumple la legislación aduanera, sino también si, teniendo en cuenta su nivel de responsabilidad dentro de la estructura organizativa de la entidad, las personas físicas mencionadas en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 no han cometido, ellas mismas, infracciones graves o reiteradas de dicha legislación o de las disposiciones fiscales, con independencia de que esas infracciones hayan tenido o no relación con la actividad económica del solicitante.

69      Por consiguiente, la recogida por las autoridades aduaneras de los números de identificación fiscal de las personas físicas taxativamente enumeradas en el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447 y de las coordenadas de las oficinas tributarias competentes respecto a estas personas solo está permitida en la medida en que esos datos permitan a las autoridades obtener información relativa a las infracciones graves o reiteradas de la legislación aduanera o a las infracciones penales graves relacionadas con la actividad económica del solicitante del estatuto de AEO cometidos por esas personas físicas en relación con su actividad económica.

70      Habida cuenta de las consideraciones anteriores, procede responder a la cuestión planteada que el artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución 2015/2447, en relación con la Directiva 95/46 y el Reglamento 2016/679, debe interpretarse en el sentido de que las autoridades aduaneras pueden exigir al solicitante del estatuto de AEO que comunique los números de identificación fiscal, asignados para la recaudación del impuesto sobre la renta, que conciernan únicamente a las personas físicas que sean las personas encargadas del solicitante o las que controlen su dirección y las encargadas de los asuntos aduaneros, así como las coordenadas de las oficinas tributarias competentes respecto al conjunto de estas personas, siempre que dichos datos permitan a esas autoridades obtener información relativa a las infracciones graves o reiteradas de la legislación aduanera o de las disposiciones fiscales o las infracciones penales graves cometidas por esas personas físicas en relación con su actividad económica.

 Costas

71      Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:

El artículo 24, apartado 1, párrafo segundo, del Reglamento de Ejecución (UE) 2015/2447 de la Comisión, de 24 de noviembre de 2015, por el que se establecen normas de desarrollo de determinadas disposiciones del Reglamento (UE) n.º 952/2013 del Parlamento Europeo y del Consejo por el que se establece el código aduanero de la Unión, en relación con la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que las autoridades aduaneras pueden exigir al solicitante del estatuto de operador económico autorizado que comunique los números de identificación fiscal, asignados para la recaudación del impuesto sobre la renta, que conciernan únicamente a las personas físicas que sean las personas encargadas del solicitante o las que controlen su dirección y las encargadas de los asuntos aduaneros, así como las coordenadas de las oficinas tributarias competentes respecto al conjunto de estas personas, siempre que dichos datos permitan a esas autoridades obtener información relativa a las infracciones graves o reiteradas de la legislación aduanera o de las disposiciones fiscales o las infracciones penales graves cometidas por esas personas físicas en relación con su actividad económica.

Firmas

*      Lengua de procedimiento: alemán.