SENTENZA DELLA CORTE (Terza Sezione)
16 gennaio 2019 (*)
«Rinvio pregiudiziale – Unione doganale – Codice doganale dell’Unione – Articolo 39 – Status di operatore economico autorizzato – Regolamento di esecuzione (UE) 2015/2447 – Articolo 24, paragrafo 1, secondo comma – Richiedente diverso da una persona fisica – Questionario – Rilevamento di dati personali – Direttiva 95/46/CE – Articoli 6 e 7 – Regolamento (UE) 2016/679 – Articoli 5 e 6 – Trattamento di dati personali»
Nella causa C‑496/17,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dal Finanzgericht Düsseldorf (Tribunale tributario di Düsseldorf, Germania), con decisione del 9 agosto 2017, pervenuta in cancelleria il 17 agosto 2017, nel procedimento
Deutsche Post AG
contro
Hauptzollamt Köln,
LA CORTE (Terza Sezione),
composta da M. Vilaras (relatore), presidente della Quarta Sezione, facente funzione di presidente della Terza Sezione, J. Malenovský, L. Bay Larsen, M. Safjan e D. Šváby, giudici,
avvocato generale: M. Campos Sánchez‑Bordona
cancelliere: R. Şereş, amministratrice
vista la fase scritta del procedimento e in seguito all’udienza del 5 luglio 2018,
considerate le osservazioni presentate:
– per la Deutsche Post AG, da U. Möllenhoff, Rechtsanwalt;
– per l’Hauptzollamt Köln, da W. Liebe, M. Greve‑Giesow e M. Hageroth, in qualità di agenti;
– per il governo spagnolo, da S. Jiménez García e V. Ester Casas, in qualità di agenti;
– per il governo italiano, da G. Palmieri, in qualità di agente, assistita da G. Albenzio, avvocato dello Stato;
– per il governo ungherese, da M.Z. Fehér, G. Koós e R. Kissné Berta, in qualità di agenti;
– per la Commissione europea, da B.‑R. Killmann e F. Clotuche‑Duvieusart, in qualità di agenti,
sentite le conclusioni dell’avvocato generale, presentate all’udienza del 17 ottobre 2018,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione (UE) 2015/2447 della Commissione, del 24 novembre 2015, recante modalità di applicazione di talune disposizioni del regolamento (UE) n. 952/2013 del Parlamento europeo e del Consiglio che istituisce il codice doganale dell’Unione (GU 2015, L 343, pag. 558, e rettifiche in GU 2016, L 87, pag. 35, e GU 2017, L 101, pag. 196).
2 Tale domanda è stata proposta nell’ambito di una controversia tra la Deutsche Post AG e l’Hauptzollamt Köln (Ufficio principale delle dogane di Colonia, Germania; in prosieguo: l’«Ufficio principale») in ordine alla natura e alla portata dei dati personali di terzi che un’impresa deve presentare per beneficiare dello status di operatore economico autorizzato, come previsto all’articolo 39 del regolamento (UE) n. 952/2013 del Parlamento europeo e del Consiglio, del 9 ottobre 2013, che istituisce il codice doganale dell’Unione (GU 2013, L 269, pag. 1, e rettifiche in GU 2013, L 287, pag. 90, GU 2015, L 70, pag. 66, GU 2016, L 267, pag. 2, GU 2017, L 7, pag. 23, e GU 2018, L 173, pag. 35; in prosieguo: il «codice doganale»).
Contesto normativo
Diritto dell’Unione
La normativa doganale
3 Il titolo I del codice doganale comprende un capo 2, rubricato «Diritti e obblighi delle persone ai sensi della normativa doganale», che contiene una sezione 4, rubricata «Operatore economico autorizzato» (in prosieguo: un «AEO»), di cui son parte gli articoli da 38 a 41.
4 L’articolo 38 del codice doganale prevede quanto segue:
«1. Un operatore economico che è stabilito nel territorio doganale dell’Unione e che soddisfa i criteri di cui all’articolo 39 può presentare domanda per ottenere lo status di [AEO].
Le autorità doganali, se necessario previa consultazione con altre autorità competenti, concedono tale status, che è soggetto a monitoraggio costante.
2. Lo status di [AEO] consta dei seguenti tipi di autorizzazione:
a) un primo tipo per un [AEO] nel settore della semplificazione doganale, che consente al titolare di beneficiare di alcune semplificazioni previste ai sensi della normativa doganale; oppure
b) un secondo tipo per un [AEO] nel settore della sicurezza, che conferisce al titolare il diritto di ottenere agevolazioni attinenti alla sicurezza.
(…)
5. Le autorità doganali, sulla base del riconoscimento dello status di [AEO] per le semplificazioni doganali e a condizione che siano soddisfatti i requisiti relativi a un determinato tipo di semplificazione previsto dalla normativa doganale, autorizzano l’operatore ad avvalersi di detta semplificazione. Le autorità doganali non sottopongono di nuovo a esame i criteri già esaminati al momento della concessione dello status di [AEO].
6. L’[AEO] di cui al paragrafo 2 beneficia di un trattamento più favorevole rispetto ad altri operatori economici per quanto riguarda i controlli doganali a seconda del tipo di autorizzazione concessa, tra cui un numero minore di controlli fisici e basati sui documenti.
(…)».
5 L’articolo 39 del medesimo codice dispone quanto segue:
«I criteri per la concessione dello status di [AEO] sono i seguenti:
a) assenza di violazioni gravi o ripetute della normativa doganale e fiscale, compresa l’assenza di trascorsi di reati gravi in relazione all’attività economica del richiedente;
(…)».
6 Ai sensi dell’articolo 41, primo comma, sempre del codice doganale:
«La Commissione adotta, mediante atti di esecuzione, le modalità per l’applicazione dei criteri di cui all’articolo 39».
7 Il titolo I del regolamento di esecuzione 2015/2447 comprende un capo 2, rubricato «Diritti e obblighi delle persone ai sensi della normativa doganale», che contiene una sezione 3, rubricata «Operatore economico autorizzato», di cui son parte gli articoli da 24 a 35.
8 Secondo l’articolo 24, paragrafo 1, secondo comma, di detto regolamento:
«Nel caso in cui il richiedente non sia una persona fisica, il criterio di cui all’articolo 39, lettera a), del codice [doganale] è considerato soddisfatto se, nel corso degli ultimi tre anni, nessuna delle persone di seguito indicate ha commesso violazioni gravi o ripetute della normativa doganale e fiscale o ha avuto precedenti di reati gravi in relazione alla propria attività economica:
a) il richiedente;
b) la persona responsabile del richiedente o che esercita il controllo sulla sua gestione;
c) il dipendente responsabile delle questioni doganali del richiedente».
9 Il considerando 9 del regolamento delegato (UE) 2016/341 della Commissione, del 17 dicembre 2015, che integra il regolamento n. 952/2013 per quanto riguarda le norme transitorie relative a talune disposizioni del codice doganale dell’Unione nei casi in cui i pertinenti sistemi elettronici non sono ancora operativi e che modifica il regolamento delegato (UE) 2015/2446 della Commissione (GU 2016, L 69, pag. 1, e rettifiche in GU 2016, L 101, pag. 33, GU 2017, L 101, pag. 200, e GU 2017, L 281, pag. 34), così recita:
«Poiché il sistema elettronico necessario all’applicazione delle disposizioni del codice [doganale] che disciplinano la domanda e la concessione della qualifica di [AEO] deve essere ancora potenziato, fino a quando ciò non avvenga è necessario continuare a utilizzare i mezzi attualmente esistenti, su supporto cartaceo e in formato elettronico».
10 L’articolo 1 di detto regolamento prevede quanto segue:
«1. Il presente regolamento stabilisce misure transitorie relative ai mezzi per lo scambio e l’archiviazione di dati di cui all’articolo 278 del codice [doganale] fino a quando i sistemi elettronici necessari per l’applicazione delle disposizioni del codice [doganale] non siano operativi.
2. I requisiti in materia di dati, i formati e i codici che devono essere applicati per i periodi di transizione fissati nel presente regolamento, nel regolamento delegato (UE) 2015/2446 [della Commissione, del 28 luglio 2015, che integra il regolamento n. 952/2013 in relazione alle modalità che specificano alcune disposizioni del codice doganale (GU 2015, L 343, pag. 1),] e nel regolamento di esecuzione [2015/2447] sono stabiliti negli allegati del presente regolamento».
11 Il regolamento delegato 2016/341 comprende un capo 1, rubricato «Disposizioni generali», che contiene una sezione 3, rubricata «Domanda per ottenere la qualifica di AEO», all’interno della quale l’articolo 5 di tale regolamento enuncia:
«1. Fino alla data di potenziamento del sistema AEO di cui all’allegato della decisione di esecuzione 2014/255/UE [della Commissione, del 29 aprile 2014, che stabilisce il programma di lavoro per il codice doganale (GU 2014, L 134, pag. 46)], le autorità doganali possono autorizzare l’utilizzo di mezzi diversi dai procedimenti informatici per le domande e le decisioni in materia di AEO o per gli eventi successivi che possono incidere sulla domanda o sulla decisione iniziale.
2. Nei casi di cui al paragrafo 1 del presente articolo si applicano le seguenti disposizioni:
a) le domande per ottenere la qualifica di AEO sono presentate utilizzando il modello di formulario di cui all’allegato 6 e
(…)».
12 L’allegato 6 di detto regolamento comprende una parte intitolata «Note esplicative». Il punto 19 di tali note, relativo al nome, alla data e alla firma del richiedente, indica in particolare quanto segue:
«(…)
Numero di allegati[:] il richiedente fornisce le informazioni generali seguenti:
1. Indicare i principali proprietari/azionisti (nome, indirizzo e rispettive quote). Indicare i membri del consiglio di amministrazione. I proprietari hanno precedenti di non conformità presso le autorità doganali?
2. Nome della persona responsabile della gestione delle questioni doganali nell’impresa del richiedente.
(…)
8. Nomi dei principali dirigenti (direttori generali, capi di dipartimento, amministratori dei servizi di contabilità, responsabile degli affari doganali ecc.). Descrizione delle procedure applicate solitamente quando il dipendente competente è assente, temporaneamente o permanentemente.
9. Nome e posizione delle persone con competenze specifiche nel settore doganale in seno all’organizzazione del richiedente. Valutazione del livello delle conoscenze di queste persone in materia di utilizzo degli strumenti informatici nei settori doganali e commerciali e sulle questioni generali di carattere commerciale.
(…)».
Il diritto alla protezione dei dati personali
13 L’articolo 2 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), prevedeva quanto segue:
«Ai fini della presente direttiva si intende per:
a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
b) “trattamento di dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, nonché il congelamento, la cancellazione o la distruzione;
(…)».
14 L’articolo 6 della medesima direttiva era formulato nel modo seguente:
«1. Gli Stati membri dispongono che i dati personali devono essere:
a) trattati lealmente e lecitamente;
b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. (…)
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
(…).
2. Il responsabile del trattamento è tenuto a garantire il rispetto delle disposizioni del paragrafo 1».
15 Ai termini dell’articolo 7 di detta direttiva:
«Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
(…)
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure
(…)».
16 Il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1, e rettifiche in GU 2016, L 314, pag. 72, e GU 2018, L 127, pag. 3), è entrato in vigore il 24 maggio 2016. Esso abroga la direttiva 95/46 con effetto al 25 maggio 2018.
17 L’articolo 4 di detto regolamento contiene, in particolare, le seguenti definizioni:
«Ai fini del presente regolamento s’intende per:
1) “dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (…); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
2) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;
(…)».
18 Ai sensi dell’articolo 5 del medesimo regolamento, rubricato «Principi applicabili al trattamento di dati personali»:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; (…);
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (“minimizzazione dei dati”);
(…)
2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”)».
19 Il successivo articolo 6 del regolamento, rubricato «Liceità del trattamento», stabilisce quanto segue:
«1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
(…)
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
(…)
3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
a) dal diritto dell’Unione; o
b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento.
La finalità del trattamento è determinata in tale base giuridica (…). Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.
(…)».
Diritto tedesco
20 L’articolo 139a, paragrafo 1, dell’Abgabenordnung (codice tributario tedesco; in prosieguo: l’«AO»), nella versione applicabile alla controversia oggetto del procedimento principale, dispone quanto segue:
«Ai fini dell’identificazione univoca nell’ambito del procedimento di imposizione, il Bundeszentralamt für Steuern [(Ufficio federale centrale delle imposte, Germania; in prosieguo: l’«Ufficio federale centrale delle imposte»)] assegna a ciascun soggetto passivo un codice unitario e permanente (codice di identificazione); detto codice deve essere indicato dal soggetto passivo o da un terzo tenuto a trasmettere alle autorità tributarie dati del succitato soggetto passivo all’interno di ogni domanda, dichiarazione o comunicazione dirette alle autorità summenzionate. Il codice consiste in una sequenza numerica che non può essere composta da altri dati attinenti al soggetto passivo né può essere da essi derivata; l’ultima è una cifra di controllo (…)».
21 Ai sensi dell’articolo 139b dell’AO, rubricato «Numero di identificazione»:
«(1) Una persona fisica può ottenere un solo numero di identificazione (…)
(2) Le autorità tributarie possono raccogliere e utilizzare il numero di identificazione soltanto ove ciò sia necessario per adempiere i compiti attribuiti loro dalla legge o qualora una disposizione giuridica lo autorizzi o lo imponga espressamente. I soggetti pubblici o privati diversi dalle autorità tributarie possono:
1. raccogliere o utilizzare il numero di identificazione soltanto se necessario per i trasferimenti di dati tra loro e le autorità tributarie o se una disposizione giuridica lo autorizza o lo impone espressamente,
(…)
3. utilizzare un numero di identificazione di un soggetto passivo acquisito lecitamente per adempiere tutti gli obblighi di comunicazione nei confronti delle autorità tributarie, a condizione che l’obbligo di comunicazione riguardi tale soggetto passivo e che la raccolta e l’utilizzo siano stati ammessi a norma del punto 1 (…)
(…)».
22 L’articolo 38, paragrafi 1 e 3, dell’Einkommensteuergesetz (legge relativa all’imposta sul reddito; in prosieguo: l’«EStG»), nella versione applicabile alla controversia oggetto del procedimento principale, dispone quanto segue:
«(1) Con riferimento ai redditi da lavoro subordinato, l’imposta sul reddito è riscossa mediante trattenuta sulla retribuzione (imposta sul reddito da lavoro), a condizione che la retribuzione sia versata da un datore di lavoro (…)
(…)
(3) Per ogni retribuzione erogata, il datore di lavoro è tenuto a trattenere l’imposta sul reddito da lavoro per conto del lavoratore (…)».
23 Ai sensi dell’articolo 39, paragrafo 1, dell’EStG, rubricato «Dati individuali destinati al calcolo della trattenuta alla fonte dell’imposta sul reddito da lavoro»:
«Per procedere alla trattenuta a titolo di imposta sul reddito da lavoro vengono elaborati, su richiesta del lavoratore, dati individuali caratterizzanti ai fini di tale trattenuta (…)».
24 Ai sensi dell’articolo 39e dell’EStG, rubricato «Procedura di elaborazione e applicazione dei dati individuali elettronici destinati al calcolo della trattenuta alla fonte dell’imposta sul reddito da lavoro»:
«(1) L’Ufficio federale centrale delle imposte elabora, in maniera essenzialmente automatizzata, la classe di imposta di ciascun lavoratore e, per i figli di cui tener conto per le classi di imposta da I a IV, il numero di sgravi fiscali per figli a carico (…) quali dati individuali caratterizzanti ai fini della trattenuta a titolo di imposta sul reddito da lavoro (articolo 39, paragrafo 4, primo periodo, punti 1 e 2) (…) Quando elabora dati individuali caratterizzanti ai fini della menzionata trattenuta ai sensi dell’articolo 39, l’amministrazione tributaria li comunica all’Ufficio federale centrale delle imposte perché siano disponibili per la consultazione automatizzata da parte del datore di lavoro (…).
(2) Allo scopo di renderne possibile la consultazione automatizzata da parte del datore di lavoro, l’Ufficio federale centrale delle imposte conserva i dati individuali caratterizzanti ai fini della trattenuta a titolo di imposta sul reddito da lavoro precisando il numero di identificazione e, per ogni soggetto passivo, oltre ai dati di cui all’articolo 139b, paragrafo 3, dell’[AO], anche i dati seguenti:
1. l’appartenenza giuridica a una comunità religiosa titolare di potestà impositiva, oltre alla data di adesione e di ritiro,
2. lo stato di famiglia ai sensi della normativa in materia di dichiarazione di residenza, oltre alla data di costituzione o scioglimento del nucleo familiare, e, per i soggetti coniugati, il numero di identificazione del coniuge,
3. figli, con indicazione del rispettivo numero di identificazione
(…)
(4) Per la consultazione dei dati individuali caratterizzanti ai fini della trattenuta a titolo di imposta sul reddito da lavoro, all’atto della presa di servizio il lavoratore deve comunicare a ciascuno dei suoi datori di lavoro:
1. il numero di identificazione e la data di nascita,
(…)
All’inizio del rapporto di lavoro, il datore di lavoro è tenuto a consultare presso l’Ufficio federale centrale delle imposte, mediante teletrasmissione, i dati individuali caratterizzanti ai fini della trattenuta a titolo di imposta sul reddito da lavoro in formato elettronico relativi al lavoratore e a inserirli nel conto stipendi di quest’ultimo».
Procedimento principale e questione pregiudiziale
25 La Deutsche Post beneficiava dello status di destinatario autorizzato, di quello di speditore autorizzato nonché di un’autorizzazione all’uso di una garanzia globale quali misure di semplificazione nell’ambito del regime doganale dell’Unione.
26 Avendo il codice doganale modificato le condizioni individuali di concessione delle autorizzazioni in materia doganale, l’Ufficio principale, con lettera del 19 aprile 2017, chiedeva alla Deutsche Post di rispondere a un questionario di autovalutazione in cui essa doveva identificare con precisione i membri dei comitati consultivi e dei consigli di sorveglianza, i suoi principali dirigenti (direttori generali, capi di dipartimento, amministratori dei servizi di contabilità, responsabili degli affari doganali ecc.) e le persone responsabili della gestione delle questioni doganali oppure incaricate del loro trattamento, trasmettendo in particolare i numeri di identificazione fiscale di ciascuna di tali persone fisiche e le coordinate degli uffici delle imposte competenti nei loro riguardi.
27 L’Ufficio principale precisava alla Deutsche Post che, in assenza di proficua collaborazione, non sarebbe stato possibile accertare se le condizioni di autorizzazione previste nel codice doganale fossero soddisfatte e che, in tale ipotesi o se le condizioni non fossero più state soddisfatte, avrebbe revocato le concessioni di cui essa beneficiava.
28 Con il ricorso proposto dinanzi al giudice del rinvio, il Finanzgericht Düsseldorf (Tribunale tributario di Düsseldorf, Germania), la Deutsche Post contesta l’obbligo di trasmettere all’Ufficio principale i numeri di identificazione fiscale delle persone considerate e le coordinate degli uffici delle imposte competenti nei loro riguardi.
29 Essa fa valere che il numero di persone all’interno della sua impresa interessate dalle richieste dati dell’Ufficio principale è molto elevato, che una parte di tali persone non è disposta ad autorizzare la divulgazione dei propri dati personali e che la cerchia individuata è più ampia di quella indicata all’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447. A suo avviso, la situazione dei propri dipendenti con riferimento all’imposta sul reddito è irrilevante per stabilire se siano state commesse violazioni gravi o ripetute della normativa doganale o fiscale o commessi reati gravi in relazione alla propria attività economica. Il rilevamento dei numeri di identificazione fiscale non sarebbe né necessario né pertinente per accertare la sua affidabilità ai fini del diritto doganale, la verifica della situazione fiscale personale dell’insieme dei soggetti considerati risulterebbe sproporzionata rispetto a tale obiettivo.
30 L’Ufficio principale conclude per il rigetto del ricorso in esame. Principalmente esso fa valere che la trasmissione dei numeri di identificazione fiscale è necessaria per permettere un’identificazione chiara delle persone considerate quando esso presenta una domanda di informazioni all’ufficio delle imposte competente, che uno scambio di informazioni è previsto, di volta in volta, solo qualora detto ufficio delle imposte disponga di elementi concernenti violazioni gravi e ripetute della normativa fiscale, con esclusione dei procedimenti sanzionatori amministrativi o dei procedimenti penali archiviati, i quali non vengono presi in considerazione, e che le violazioni ripetute di detta normativa rilevano solo se così frequenti da risultare sproporzionate rispetto alla tipologia e alla portata dell’attività commerciale del richiedente l’autorizzazione. Il numero di persone considerate dalle richieste dati avanzate sarebbe conforme alla normativa doganale dell’Unione.
31 Secondo il giudice del rinvio, la soluzione della controversia oggetto del procedimento principale dipende dall’interpretazione dell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447, in combinato disposto con l’articolo 8 della Carta dei diritti fondamentali dell’Unione europea e del regolamento 2016/679, atteso che i numeri di identificazione fiscale delle persone considerate e le coordinate degli uffici delle imposte competenti nei loro riguardi costituiscono dati personali.
32 Da un lato, esso si domanda se la trasmissione di tali dati costituisca un trattamento lecito con riguardo al regolamento di esecuzione 2015/2447. Dall’altro, dubita della necessità di ricorrere ai dati personali dei dipendenti e dei membri del consiglio di sorveglianza della Deutsche Post, che sono stati raccolti ai fini della riscossione dell’imposta sul reddito mediante trattenuta alla fonte sulla retribuzione.
33 Il giudice del rinvio considera che i dati personali di tali dipendenti non hanno un nesso diretto con la valutazione dell’affidabilità della Deutsche Post alla luce delle disposizioni del diritto doganale e non stanno in nessun rapporto con la sua attività economica.
34 Esso si domanda se, tenuto conto dell’articolo 8, paragrafo 1, della Carta dei diritti fondamentali e del principio di proporzionalità, l’amministrazione doganale possa richiedere dati personali, quali i numeri di identificazione fiscale delle persone considerate e le coordinate degli uffici delle imposte competenti per l’accertamento dell’imposta sul reddito di tali persone. Rileva che i membri del consiglio di sorveglianza non sono menzionati nell’allegato 6 del regolamento delegato 2016/341 e, così come i capi di dipartimento e gli amministratori dei servizi di contabilità, non sono incaricati del trattamento delle questioni relative alla normativa doganale.
35 In tale contesto, il Finanzgericht Düsseldorf (Tribunale tributario di Düsseldorf) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Se l’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione [2015/2447] debba essere interpretato nel senso che esso consente all’autorità doganale di esigere che il richiedente le comunichi i numeri di identificazione fiscale attribuiti dall’Ufficio federale centrale delle imposte ai fini della riscossione dell’imposta sul reddito e le coordinate delle amministrazioni tributarie competenti per la liquidazione dell’imposta sul reddito con riferimento ai membri del proprio consiglio di sorveglianza e ai direttori generali, ai capi di dipartimento, agli amministratori dei servizi di contabilità, ai responsabili degli affari doganali, ai responsabili della gestione delle questioni doganali e alle persone incaricate del loro trattamento».
Sulla questione pregiudiziale
Osservazioni preliminari
36 Per apportare elementi di risposta alla questione sollevata, le parti interessate, tranne la Commissione, si fondano sul regolamento 2016/679, al quale fa riferimento anche il giudice del rinvio.
37 La Commissione, dal canto suo, fa valere che i fatti oggetto del procedimento principale si sono svolti nel mese di aprile 2017, sicché la controversia andrebbe risolta in applicazione della direttiva 95/46.
38 Ebbene, tenuto conto della natura dichiarativa del ricorso dinanzi al giudice nazionale (Feststellungsklage), non è escluso che ratione temporis sia applicabile proprio il regolamento per dirimere la controversia principale; l’udienza dibattimentale non ha permesso di chiarire il punto.
39 Occorre dunque rispondere alla questione sollevata con riferimento tanto alla direttiva 95/46 quanto al regolamento 2016/679.
Nel merito
40 Con la sua questione il giudice del rinvio domanda, in sostanza, se l’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447, letto alla luce della direttiva 95/46 e del regolamento 2016/679, debba essere interpretato nel senso che le autorità doganali possono esigere dal richiedente lo status di AEO che comunichi i numeri di identificazione fiscale, attribuiti ai fini della riscossione dell’imposta sul reddito, dei membri del suo consiglio di sorveglianza e dei suoi dipendenti con funzioni di direttore generale, di capo di dipartimento, di amministratore dei servizi di contabilità e di responsabile degli affari doganali, compreso di quelli responsabili della gestione delle questioni doganali e degli incaricati del loro trattamento, nonché le coordinate degli uffici delle imposte competenti nei riguardi dell’insieme di tali persone.
41 In primo luogo, si deve sottolineare che l’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 enuncia che, nel caso in cui il richiedente lo status di AEO non sia una persona fisica, il criterio di cui all’articolo 39, lettera a), del codice doganale è considerato soddisfatto se, nel corso degli ultimi tre anni, nessuna delle persone che la stessa disposizione indica nel prosieguo ha commesso violazioni gravi o ripetute della normativa doganale e fiscale oppure ha avuto precedenti di reati gravi in relazione alla propria attività economica.
42 Trattasi unicamente del richiedente, della persona responsabile del richiedente o che esercita il controllo sulla sua gestione e del dipendente responsabile delle questioni doganali del richiedente. A leggere la disposizione, l’elenco appare esaustivo.
43 Si deve pertanto escludere un’interpretazione dell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 che lo riferisca a persone fisiche diverse da quelle che sono responsabili del richiedente, che controllano la sua gestione o che rispondono al suo interno delle questioni doganali. Non sono dunque interessati da detta disposizione i membri di comitati consultivi e di consigli di sorveglianza di una persona giuridica, i capi di dipartimento, a meno che siano responsabili delle questioni doganali del richiedente, gli amministratori dei servizi di contabilità nonché le persone incaricate del trattamento delle questioni doganali.
44 I direttori generali, dal canto loro, possono doversi conformare anch’essi ai requisiti enunciati in detta disposizione se, in una situazione come quella di cui trattasi nel procedimento principale, risultassero responsabili del richiedente o fossero considerati esercitare il controllo sulla sua gestione.
45 Certo, il regolamento delegato 2016/341 prevede, al punto 19 delle note esplicative contenute nel suo allegato 6, che il richiedente lo status di AEO fornisca, in allegato al formulario di domanda di tale status che va a compilare, i nomi e le posizioni al suo interno di un elenco di persone fisiche più ampio di quello contenuto nell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447.
46 Tuttavia, è sufficiente constatare, al riguardo, che il regolamento delegato 2016/341 non può essere interpretato come avente per oggetto o per effetto di derogare all’articolo 41, primo comma, del codice doganale, ai termini del quale la Commissione adotta mediante atti di esecuzione le modalità per l’applicazione dei criteri, di cui all’articolo 39 di tale codice, da esaminare per stabilire se a un richiedente possa essere concesso lo status di AEO.
47 Di conseguenza, il regolamento delegato 2016/341 non può incidere sulla portata dell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447.
48 La circostanza, poi, che tale disposizione subordini all’osservanza dei requisiti che essa impone «la persona» responsabile del richiedente o che esercita il controllo sulla sua gestione e «il dipendente» responsabile delle questioni doganali di quest’ultimo non può far ritenere che tali requisiti riguardino una sola persona responsabile del richiedente o esercente il controllo sulla sua gestione e un solo dipendente responsabile delle questioni doganali al suo interno.
49 Non può escludersi, infatti, che, in seno all’organizzazione di un’impresa, più persone fisiche siano corresponsabili di quest’ultima o esercitino congiuntamente il controllo sulla sua gestione e che svariate altre persone fisiche siano responsabili delle questioni doganali al suo interno, specialmente su base territoriale.
50 Le persone fisiche cui si riferisce l’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 sono, pertanto, tutte quelle che, nell’organizzazione del richiedente, sono responsabili di quest’ultimo o esercitano il controllo sulla sua gestione ovvero sono responsabili delle questioni doganali al suo interno.
51 In secondo luogo, affinché le autorità doganali possano rispondere a una richiesta di status di AEO, tale disposizione implica che sia loro permesso l’accesso ai dati che consentono di accertare che nessuna delle persone fisiche che essa elenca abbia commesso infrazioni gravi o ripetute della normativa doganale o fiscale oppure abbia precedenti di reati gravi in relazione alla propria attività economica.
52 Nella specie, le autorità doganali tedesche chiedono la comunicazione dei numeri di identificazione fiscale delle persone fisiche elencate al punto 50 della presente sentenza e le coordinate degli uffici delle imposte competenti nei riguardi di tali persone.
53 In circostanze del genere è primordiale che, se l’azione di tali autorità implica un trattamento di dati personali, ai sensi dell’articolo 2, lettera a), della direttiva 95/46 o dell’articolo 4, punto 2, del regolamento 2016/679, la normativa dell’Unione in materia di protezione di tali dati sia rispettata.
54 Ebbene, tale normativa va nel senso che il rispetto del diritto alla vita privata nel trattamento di tali dati si riferisce a ogni informazione concernente una persona fisica identificata o identificabile (v., in tal senso, sentenze del 9 novembre 2010, Volker und Markus Schecke e Eifert, C-92/09 e C-93/09, EU:C:2010:662, punto 52, nonché del 17 ottobre 2013, Schwarz, C-291/12, EU:C:2013:670, punto 26).
55 Risulta del pari dalla giurisprudenza della Corte che i dati fiscali costituiscono «dati personali», ai sensi dell’articolo 2, lettera a), della direttiva 95/46 (v., in tal senso, sentenze del 1 o ottobre 2015, Bara e a., C‑201/14, EU:C:2015:638, punto 29, nonché del 27 settembre 2017, Puškár, C‑73/16, EU:C:2017:725, punto 41).
56 Un numero di identificazione fiscale è per sua stessa natura un dato fiscale che si riferisce a una persona fisica identificata o identificabile e, pertanto, è un dato personale. Inoltre, in ragione del nesso tra il numero di identificazione fiscale di una persona precisamente identificata e l’informazione relativa all’ufficio delle imposte competente per tale persona, quale stabilito dalle autorità doganali, anche tale informazione deve essere considerata un dato personale.
57 Ora, ogni trattamento di dati personali deve, da un lato, essere conforme ai principi relativi alla qualità dei dati elencati all’articolo 6 della direttiva 95/46 o all’articolo 5 del regolamento 2016/679 e, dall’altro, rispondere a uno dei principi legittimanti un trattamento dati enumerati all’articolo 7 di detta direttiva o all’articolo 6 di detto regolamento (v., in tal senso, sentenze del 20 maggio 2003, Österreichischer Rundfunk e a., C-465/00, C-138/01 e C-139/01, EU:C:2003:294, punto 65, nonché del 13 maggio 2014, Google Spain e Google, C-131/12, EU:C:2014:317, punto 71).
58 Più in particolare, i dati personali devono essere, a norma dell’articolo 6, paragrafo 1, lettere b) e c), della direttiva 95/46 o dell’articolo 5, paragrafo 1, lettere b) e c), del regolamento 2016/679, raccolti per finalità determinate, esplicite e legittime e risultare adeguati, pertinenti e limitati a quanto necessario rispetto a tali finalità, mentre il loro trattamento è lecito, secondo l’articolo 7, lettera c), della stessa direttiva o l’articolo 6, paragrafo 1, lettera c), dello stesso regolamento, se è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.
59 Inoltre, occorre ricordare che l’imperativo di correttezza del trattamento dei dati personali, sancito all’articolo 6 della direttiva 95/46 o all’articolo 5 del regolamento 2016/679, implica un obbligo di informare le persone interessate della raccolta di tali dati da parte delle autorità doganali in vista del loro ulteriore trattamento (v., in tal senso, sentenza del 1o ottobre 2015, Bara e a., C‑201/14, EU:C:2015:638, punto 34).
60 Per quanto riguarda la situazione oggetto del procedimento principale, risulta, da un lato, che i numeri di identificazione fiscale delle persone fisiche sono stati, innanzitutto, raccolti dal datore di lavoro di tali persone in ottemperanza della normativa sull’imposta sul reddito, e più esattamente per adempiere l’obbligo a suo carico di prelevare per via di trattenuta alla fonte l’imposta sul reddito gravante sui redditi da lavoro dipendente di ciascuna di tali persone fisiche.
61 Dall’altro lato, la raccolta ulteriore di tali dati personali da parte delle autorità doganali prima di decidere su una domanda di status di AEO appare necessaria alla luce dell’obbligo di legge al quale tali autorità sono soggette ai sensi dell’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 e delle condizioni che esso impone per concedere tale status. In tale misura, detti dati sono raccolti, e dunque trattati, per finalità determinate, esplicite e legittime.
62 Altrettanto vale per la raccolta, da parte delle autorità doganali, delle coordinate degli uffici delle imposte competenti per la liquidazione dell’imposta sul reddito di dette persone fisiche, atteso che una tale raccolta ha anch’essa la finalità di permettere a dette autorità di rispondere a una domanda di status di AEO.
63 Occorre nondimeno che, in una situazione come quella oggetto del procedimento principale, i dati raccolti dalle autorità doganali, ossia i numeri di identificazione fiscale di persone fisiche e le coordinate degli uffici delle imposte competenti a determinare l’imposta sul reddito di tali persone, siano, conformemente alla giurisprudenza citata al punto 58 della presente sentenza, adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali tali dati personali sono trattati.
64 Come ha rilevato l’avvocato generale al paragrafo 66 delle sue conclusioni, il fatto, per le autorità doganali, di concedere lo status di AEO a un operatore equivale, de facto, a delegare a quest’ultimo una parte delle funzioni di controllo della normativa doganale. Pertanto è primordiale che, prima di concedere tale status, dette autorità possano beneficiare di informazioni sull’affidabilità del richiedente lo status stesso in fatto di osservanza delle prescrizioni doganali e su quella delle persone fisiche menzionate all’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 quanto alla loro ottemperanza alla normativa doganale e alle disposizioni fiscali che le concernono.
65 Ne deriva che la raccolta dei numeri di identificazione fiscale delle sole persone fisiche menzionate in detto articolo nonché delle coordinate degli uffici delle imposte competenti nei loro riguardi costituisce una misura adeguata e pertinente per consentire alle autorità doganali di verificare se una qualunque di tali persone abbia commesso una delle infrazioni enunciate nell’articolo.
66 Peraltro, i dati personali così raccolti da dette autorità appaiono limitati a quanto è necessario per raggiungere la finalità esposta all’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447, in quanto si tratta di dati stretti che, per se stessi, non rivelano alle autorità doganali informazioni sensibili sulla situazione personale, per esempio matrimoniale o di credo, o sui redditi delle persone fisiche cui si riferiscono.
67 Anche se, come rileva il giudice del rinvio, la raccolta dei numeri di identificazione fiscale delle persone fisiche elencate in detto articolo e delle coordinate degli uffici delle imposte competenti nei loro riguardi può, in linea di principio, permettere alle autorità doganali di accedere a dati personali che non hanno alcun rapporto con l’attività economica del richiedente lo status di AEO, occorre constatare che le infrazioni alle disposizioni fiscali, menzionate in tale articolo, non si limitano a quelle correlate all’attività economica del richiedente lo status di AEO.
68 Così, appare giustificato che, prima di concedere detto status al richiedente, ciò che, come risulta dal punto 64 della presente sentenza, equivale a delegare a quest’ultimo l’esercizio di funzioni proprie delle autorità doganali, tali autorità debbano poter verificare non soltanto se il richiedente rispetti la normativa doganale, ma anche se, considerato il loro livello di responsabilità in seno alla struttura organizzativa di quest’ultimo, le persone fisiche menzionate all’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 non abbiano esse stesse commesso un’infrazione grave o ripetuta a tale normativa o alle disposizioni fiscali, non importa se correlata all’attività economica del richiedente oppure no.
69 Di conseguenza, la raccolta da parte delle autorità doganali dei numeri di identificazione fiscale delle persone fisiche tassativamente elencate all’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447 e delle coordinate degli uffici delle imposte competenti nei riguardi di tali persone è consentita nella sola misura in cui tali dati permettono a dette autorità di ottenere informazioni relative alle infrazioni gravi o ripetute della normativa doganale o delle disposizioni fiscali oppure ai reati gravi commessi da tali persone fisiche in relazione alla loro attività economica.
70 Alla luce delle suesposte considerazioni occorre rispondere alla questione sollevata dichiarando che l’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione 2015/2447, letto alla luce della direttiva 95/46 e del regolamento 2016/679, deve essere interpretato nel senso che le autorità doganali possono esigere dal richiedente lo status di AEO che esso comunichi i numeri di identificazione fiscale, attribuiti ai fini del prelievo dell’imposta sul reddito, delle sole persone fisiche che siano responsabili del richiedente medesimo o esercitino il controllo sulla sua gestione e di quelle che siano responsabili delle questioni doganali al suo interno, nonché le coordinate degli uffici delle imposte competenti nei riguardi dell’insieme di tali persone, nei limiti in cui tali dati permettono a dette autorità di ottenere informazioni relative alle infrazioni gravi o ripetute della normativa doganale o delle disposizioni fiscali oppure ai reati gravi commessi da tali persone fisiche in relazione alla loro attività economica.
Sulle spese
71 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Terza Sezione) dichiara:
L’articolo 24, paragrafo 1, secondo comma, del regolamento di esecuzione (UE) 2015/2447 della Commissione, del 24 novembre 2015, recante modalità di applicazione di talune disposizioni del regolamento (UE) n. 952/2013 del Parlamento europeo e del Consiglio che istituisce il codice doganale dell’Unione, letto alla luce della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), deve essere interpretato nel senso che le autorità doganali possono esigere dal richiedente lo status di operatore economico autorizzato che esso comunichi i numeri di identificazione fiscale, attribuiti ai fini del prelievo dell’imposta sul reddito, delle sole persone fisiche che siano responsabili del richiedente medesimo o esercitino il controllo sulla sua gestione e di quelle che siano responsabili delle questioni doganali al suo interno, nonché le coordinate degli uffici delle imposte competenti nei riguardi dell’insieme di tali persone, nei limiti in cui tali dati permettono a dette autorità di ottenere informazioni relative alle infrazioni gravi o ripetute della normativa doganale o delle disposizioni fiscali oppure ai reati gravi commessi da tali persone fisiche in relazione alla loro attività economica.
Firme