Conclusiones nº C-496/17 of Tribunal de Justicia, October 17, 2018

• Resolution Date: October 17, 2018
• Issuing Organization: Tribunal de Justicia
• Decision Number: C-496/17

Cuestión prejudicial - Derechos y obligaciones de las personas respecto a la legislación aduanera - Estatuto de operador económico autorizado - Cuestionario - Protección de datos de carácter personal - Número de identificación fiscal - Oficina tributaria competente para la liquidación del impuesto sobre la renta -Tratamiento de datos necesario para el cumplimiento de una obligación legal - Principio de la limitación de la finalidad del tratamiento de los datos personales

1. La Administración aduanera alemana requiere ciertos datos personales de los directivos y de los empleados de las empresas que aspiran a obtener o a mantener el estatuto de operador económico autorizado (en lo sucesivo, «AEO»), con el que gozan de un trato más favorable que el resto de los importadores o exportadores.

2. La cuestión prejudicial versa sobre los límites que el derecho de la Unión impone a esos requerimientos, bien sea en el ámbito estrictamente aduanero, bien en el de la protección de los datos personales.

   1. Marco jurídico

   1. Derecho de la Unión

1. Normativa aduanera

   1. Código aduanero

3. El artículo 38 del Reglamento n.º 952/2013 (2) prevé:

   1. Todo operador económico establecido en el territorio aduanero de la Unión que cumpla los criterios dispuestos en el artículo 39 podrá solicitar el estatuto de operador económico autorizado.

   [...]

   2. El estatuto de operador económico autorizado consistirá en los siguientes tipos de autorización:

   a) la de operador económico autorizado de simplificaciones aduaneras que permitirá a su titular beneficiarse de determinados procedimientos simplificados en virtud de la legislación aduanera; o

   b) la de operador económico autorizado de seguridad y protección que concederá a su titular facilidades en materia de seguridad y protección.

   [...]

4. El artículo 39, letra a), preceptúa:

   Los criterios para la concesión del estatuto de operador económico autorizado serán los siguientes:

   a) inexistencia de infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal, en particular que no haya habido condena alguna por un delito grave en relación con la actividad económica del solicitante;

   [...]

   .

   2. Reglamento de Ejecución (UE) 2015/2447 (3) 5. Con arreglo al artículo 24, apartado 1:

      [...]

      Cuando el solicitante no sea una persona física, el criterio establecido en el artículo 39, letra a), del Código se considerará cumplido si, durante los tres últimos años, ninguna de las personas siguientes ha cometido infracciones graves o reiteradas de la legislación aduanera y de la normativa fiscal ni ha recibido condena alguna por un delito grave en relación con su actividad económica:

      a) solicitante;

      b) la persona encargada del solicitante o que controle su dirección;

      c) el empleado encargado de los asuntos aduaneros del solicitante.

   3. Reglamento Delegado (UE) 2016/341 (4) 6. Conforme al artículo 1:

      1. El presente Reglamento establece medidas transitorias respecto de los medios de intercambio y almacenamiento de información a que se refiere el artículo 278 del Código hasta que estén operativos los sistemas electrónicos necesarios para la aplicación de las disposiciones del Código.

      2. Los requisitos en materia de datos, los formatos y los códigos que se aplicarán durante los períodos transitorios establecidos en el presente Reglamento, el Reglamento Delegado (UE) 2015/2446 y el Reglamento de Ejecución (UE) 2015/2447, se establecen en los anexos del presente Reglamento.

7. El artículo 5 estipula:

   1. Hasta la fecha de mejora del sistema AEO a que se refiere el anexo de la Decisión de Ejecución 2014/255/UE, las autoridades aduaneras podrán permitir la utilización de medios distintos de las técnicas de tratamiento electrónico de datos en relación con las solicitudes y las decisiones relativas a AEO o con cualquier acontecimiento posterior que pueda afectar a la solicitud o decisión iniciales.

   2. En los casos contemplados en el apartado 1 del presente artículo, será de aplicación lo siguiente:

   a) las solicitudes del estatuto de AEO se presentarán utilizando el formato de formulario que figura en el anexo 6, y

   b) las autorizaciones del estatuto de AEO se concederán utilizando el formato de formulario que figura en el anexo 7.

8. El punto 19 de las notas explicativas del anexo VI está dedicado al contenido del formulario de solicitud del estatuto de AEO:

   Nombre del solicitante, fecha y firma:

   Firma: el firmante debe indicar su cargo. El firmante debe ser siempre la persona que represente globalmente al solicitante.

   Nombre: nombre y apellidos y sello del solicitante.

   [...]

   8. Nombres y apellidos de los directivos principales (directores gerentes, jefes de sección, responsables de contabilidad, jefe de la sección de aduanas, etc.). Descripción de los procedimientos seguidos cuando el empleado competente está ausente, provisional o permanentemente.

   9. Nombre y cargo en la empresa del solicitante con experiencia concreta en aduanas. Evaluación del nivel de conocimientos de estas personas sobre el uso de la informática para la realización de trámites aduaneros y comerciales y asuntos comerciales en general.

   [...]

2. Normativa sobre protección de datos: Reglamento (UE) n.º 2016/679 (5) 9. Según el artículo 4:

   A efectos del presente Reglamento se entenderá por:

   1) “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

   2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

   [...]

   .

10. El artículo 5 prevé:

    Los datos personales serán:

    a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);

    b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”);

    c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).

    [...]

11. El artículo 6 enuncia:

    1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

    a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

    [...]

    c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

    [...]

    e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

    [...]

    2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

    3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

    a) el derecho de la Unión, o

    b) el derecho de los Estados miembros que se aplique al responsable del tratamiento.

    La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. [...] El derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

    4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

    a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

    b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

    c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

    d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

    e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.

12. De...