–

за X-FAB Dresden GmbH & Co. KG, от S. Leese, Rechtsanwalt,

–

за FC, от R. Buschmann и T. Heller, Prozessbevollmächtigte,

–

за германското правителство, от J. Möller, D. Klebs и P.‑L. Krüger, в качеството на представители,

–

за Европейския парламент, от O. Hrstková Šolcová и B. Schäfer, в качеството на представители,

–

за Съвета на Европейския съюз, от T. Haas и K. Pleśniak, в качеството на представители,

–

за Европейската комисия, от A. Bouchagiar, K. Herrmann и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването и валидността на член 38, параграф 3, второ изречение от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2; наричан по-нататък „ОРЗД“), както и до тълкуването на член 38, параграф 6 от този регламент.

2

Запитването е отправено в рамките на спор между X-FAB Dresden GmbH & Co. KG (наричано по-нататък „X-FAB“) и FC, негов служител, по повод на освобождаването на последния като длъжностно лице по защита на данните (наричано по-нататък „ДЛЗД“) от X-FAB.

3

Съображения 10 и 97 от ОРЗД гласят:

[…]

4

Член 37 от ОРЗД, озаглавен „Определяне на [ДЛЗД]“, предвижда в параграфи 5 и 6:

„5.   [ДЛЗД] се определя въз основа на неговите професионални качества, и по-специално въз основа на експертните му познания в областта на законодателството и практиките в областта на защитата на данните и способността му да изпълнява задачите, посочени в член 39.

6.   [ДЛЗД] може да бъде член на персонала на администратора или на обработващия лични данни или да изпълнява задачите въз основа на договор за услуги“.

5

Член 38 от ОРЗД, озаглавен „Функция на [ДЛЗД]“, предвижда в параграфи 3, 5 и 6:

„3.   Администраторът и обработващият лични данни правят необходимото [ДЛЗД] да не получава никакви указания във връзка с изпълнението на тези задачи. [ДЛЗД] не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи. [ДЛЗД] се отчита пряко пред най-висшето ръководно ниво на администратора или обработващия лични данни.

[…]

5.   [ДЛЗД] е длъжно да спазва секретността или поверителността на изпълняваните от него задачи в съответствие с правото на Съюза или правото на държава членка.

6.   [ДЛЗД] може да изпълнява и други задачи и задължения. Администраторът или обработващият лични данни прави необходимото тези задачи и задължения да не водят до конфликт на интереси“.

6

Член 39 от ОРЗД, озаглавен „Задачи на [ДЛЗД]“, гласи:

„1.   [ДЛЗД] изпълнява най-малко следните задачи:

2.   При изпълнението на своите задачи [ДЛЗД] надлежно отчита рисковете, свързани с операциите по обработване, и се съобразява с естеството, обхвата, контекста и целите на обработката“.

7

Член 6 от Bundesdatenschutzgesetz (Федерален закон за защита на данните) от 20 декември 1990 г. (BGBl. 1990 I, стр. 2954), в редакцията си в сила от 25 май 2018 г. до 25 ноември 2019 г. (BGBl. 2017 I, стр. 2097) (наричан по-нататък „BDSG“), е озаглавен „Длъжност“ и параграф 4 от него гласи:

„[ДЛЗД] може да бъде освободено от длъжност само при съответно прилагане на член 626 от Bürgerliches Gesetzbuch [(Граждански кодекс) в обнародваната редакция от 2 януари 2002 г. (BGBl. 2002 I, стр. 42, и поправки в BGBl. 2002 I, стр. 2909, и BGBl. 2003 I, стр. 738)]. Не се допуска едностранно прекратяване на трудовото правоотношение, освен ако не са налице факти, които дават право на публичноправния субект да прекрати едностранно и без предизвестие трудовото правоотношение поради наличието на сериозно основание. Не се допуска едностранно прекратяване на трудовото правоотношение в срок от една година след преустановяване на функциите на [ДЛЗД], освен ако публичноправният субект няма право да прекрати едностранно и без предизвестие трудовото правоотношение поради наличието на сериозно основание“.

8

Член 38 от BDSG e озаглавен „[ДЛЗД] в частни структури“ и предвижда:

„(1)   В допълнение към член 37, параграф 1, букви б) и в) от [ОРЗД] администраторът и обработващият лични данни определят [ДЛЗД], ако в предприятието обикновено са заети най-малко десет лица, извършващи постоянно автоматизирана обработка на лични данни. […]

(2)   Член 6, параграф 4, параграф 5, второ изречение и параграф 6 е приложим, като параграф 4 се прилага само ако определянето на [ДЛЗД] е задължително“.

9

Член 626 от Гражданския кодекс е озаглавен „Едностранно прекратяване без предизвестие поради наличие на сериозно основание“ и гласи:

„(1)   Трудовото правоотношение може да бъде едностранно прекратено от всяка страна по договора поради наличие на сериозно основание, без да се спазва срокът на предизвестието, ако са налице факти, въз основа на които, като се вземат предвид всички обстоятелства по случая и се претеглят интересите на двете страни по договора, от прекратяващата страна не може да се очаква да продължи трудовото правоотношение до изтичането на срока на предизвестие или до уговореното прекратяване на трудовото правоотношение.

(2)   Едностранното прекратяване е допустимо само в рамките на две седмици. Срокът тече от момента, в който страната, която има право едностранно да прекрати договора, узнае релевантните за едностранното прекратяване факти. […]“.

10

FC е служител на X-FAB от 1 ноември 1993 г.

11

Той е председател на работническия съвет на посоченото дружество и на това основание е частично освободен от трудовите си задължения. Освен това той е заместник-председател на централния работнически съвет, учреден за три установени в Германия предприятия от групата дружества, към която принадлежи X-FAB.

12

Считано от 1 юни 2015 г. FC е определен поотделно от всяко предприятие за ДЛЗД на X-FAB, на неговото дружество майка и на другите установени в Германия дъщерни дружества на това дружество майка. Според запитващата юрисдикция целта на едновременното определяне на FC за ДЛЗД на всички тези предприятия е да се осигури единен стандарт за защита на данните в посочените предприятия.

13

По искане на надзорния орган по защита на данните и свободата на информация на Тюрингия (Германия), с писма от 1 декември 2017 г. X-FAB и посочените в точка 12 от настоящото решение предприятия освобождават с незабавно действие FC от длъжността ДЛЗД. С отделни писма от 25 май 2018 г. като предпазна мярка тези предприятия потвърждават освобождаването на основание член 38, параграф 3, второ изречение от междувременно влезлия в сила ОРЗД, като се позовават на причини, свързани с групата дружества, към която принадлежи X-FAB.

14

FC предявява иск пред германските съдилища с цел да се установи, че той продължава да е ДЛЗД на X-FAB. Последното твърди, че съществува риск от конфликт на интереси, ако FC едновременно е ДЛЗД и председател на работническия съвет, тъй като тези две длъжности са несъвместими. Следователно било налице сериозно основание за освобождаването на FC от длъжността ДЛЗД.

15

Първоинстанционният и въззивният съд уважават предявения от FC иск. X-FAB подава ревизионна жалба пред запитващата юрисдикция — Bundesarbeitsgericht (Федерален съд по трудови дела, Германия), насочена към отхвърлянето на този иск.

16

Запитващата юрисдикция отбелязва, че успехът на ревизионната жалба зависи от тълкуването на правото на Съюза. По-конкретно се поставя въпросът дали член 38, параграф 3, второ изречение от ОРЗД допуска правна уредба на държава членка, която обвързва освобождаването от длъжност на ДЛЗД с по-строги условия от предвидените в правото на Съюза, и при утвърдителен отговор, дали тази разпоредба почива на достатъчно правно основание. Ако Съдът приеме, че условията на BDSG за освобождаване от длъжност са несъвместими с правото на Съюза, трябва също така да се изясни дали двете длъжности — на председател на работническия съвет и на ДЛЗД в едно предприятие — могат да се заемат от едно и също лице, или това води до конфликт на интереси по смисъла на член 38, параграф 6, второ изречение от ОРЗД.

17

При тези обстоятелства Bundesverwaltungsgericht (Федерален административен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

При утвърдителен отговор на първия въпрос:

При утвърдителен отговор на първия въпрос:

При отрицателен отговор на първия въпрос:

18

С първия си въпрос запитващата юрисдикция по същество иска да установи дали член 38, параграф 3, второ изречение от ОРЗД трябва да се тълкува в смисъл, че не допуска национална правна уредба, съгласно която администраторът или обработващият лични данни може да освободи от длъжност ДЛЗД, което е член на персонала му, само при наличие на сериозно основание, дори когато освобождаването не е свързано с изпълнението на задачите на това длъжностно лице.

19

Както следва от постоянната съдебна практика, при тълкуването на разпоредба от правото на Съюза трябва да се държи сметка не само за употребените в нея думи в съответствие с обичайното им значение в общоупотребимия език, но и за контекста, в който тя се използва, и за целите, преследвани с правната уредба, от която е част (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 18 и цитираната съдебна практика).

20

На първо място, що се отнася до текста на разглежданата разпоредба, следва да се посочи, че съгласно член 38, параграф 3, второ изречение от ОРЗД „[ДЛЗД] не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи“.

21

В това отношение в решение от 22 юни 2022 г., Leistritz (C‑534/20, EU:C:2022:495, т. 20 и 21), след като установява, че ОРЗД не дефинира съдържащите се в член 38, параграф 3, второ изречение понятия „освободено от длъжност“, „санкционирано“ и „за изпълнението на своите задачи“, Съдът подчертава, първо, че в съответствие със смисъла на тези понятия в общоупотребимия език забраната администраторът или обработващият лични данни да освобождават от длъжност или да санкционират ДЛЗД, означава, че това лице трябва да бъде защитено срещу всяко решение, с което се прекратяват функциите му, което го поставя в неизгодно положение или което представлява санкция.

22

Такова решение обаче може да бъде решението, с което работодателят на ДЛЗД го освобождава от длъжност и с което следователно се прекратят функциите на ДЛЗД при администратора или обработващия лични данни.

23

Второ, Съдът посочва също, че член 38, параграф 3, второ изречение от ОРЗД се прилага без разлика както за ДЛЗД, което е член на персонала на администратора или на обработващия лични данни, така и за ДЛЗД, което изпълнява задачите си въз основа на сключен с последните договор за услуга съгласно член 37, параграф 6 от ОРЗД, от което следва, че член 38, параграф 3, второ изречение се прилага към отношенията между ДЛЗД и администратор или обработващ лични данни, независимо от естеството на трудовото правоотношение между това лице и последните (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 23 и 24).

24

Трето, тази разпоредба предвижда ограничение, което се изразява в забрана за освобождаване от длъжност на ДЛЗД на основание, свързано с изпълнението на неговите задачи, които съгласно член 39, параграф 1, буква б) от ОРЗД включват в частност наблюдение дали се спазват уреждащите защитата на данни разпоредби на правото на Съюза или на правото на държавите членки, както и политиките на администратора или обработващия лични данни по отношение на защитата на личните данни (вж. в този смисъл решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 25).

25

На второ място, що се отнася до целта, преследвана с член 38, параграф 3, второ изречение от ОРЗД, първо, съгласно съображение 97 от този регламент ДЛЗД, независимо от това дали са служители на администратора, следва да бъдат в състояние да изпълняват своите задължения и задачи независимо. В това отношение подобна независимост трябва задължително да им позволява да изпълняват тези задачи в съответствие с целта на ОРЗД, която, видно от съображение 10 от него, е да се гарантира високо ниво на защита на физическите лица в Съюза и съответно да се гарантира последователно и еднородно прилагане в рамките на Съюза на правилата за защита на основните права и свободи на тези лица във връзка с обработването на лични данни (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 26 и цитираната съдебна практика).

26

Второ, целта да се гарантира функционалната независимост на ДЛЗД, така както тази цел следва от член 38, параграф 3, второ изречение от ОРЗД, произтича и от член 38, параграф 3, първо и трето изречение от ОРЗД, съгласно който това ДЛЗД не получава никакви указания във връзка с изпълнението на задачите си и се отчита пряко пред най-висшето ръководно ниво на администратора или обработващия лични данни, както и от член 38, параграф 5 от ОРЗД, който предвижда, че при изпълнението на задачите въпросното ДЛЗД е длъжно да опазва професионалната тайна или поверителността (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 27).

27

В този смисъл трябва да се приеме, че тъй като закриля ДЛЗД срещу всяко решение, което прекратява функциите на това лице, поставя същото в по-неизгодно положение или представлява санкция, когато такова решение е свързано с изпълнението на задачите на въпросното лице, член 38, параграф 3, второ изречение от ОРЗД по същество обезпечава функционалната независимост на ДЛЗД и следователно гарантира ефективността на разпоредбите на ОРЗД (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 28).

28

Съдът е постановил също, че това тълкуване се потвърждава, на трето място, от контекста, в който се вписва посочената разпоредба, и по-специално от правното основание, на което законодателят на Съюза е приел ОРЗД (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 29).

29

Всъщност от съображенията на ОРЗД е видно, че той е приет на основание член 16 ДФЕС, чийто параграф 2 предвижда по-специално, че Европейският парламент и Съветът, като действат в съответствие с обикновената законодателна процедура, определят правилата, от една страна, за защитата на физическите лица по отношение на обработката на личните данни от страна на институциите, органите, службите и агенциите на Съюза, както и от страна на държавите членки при извършване на дейности, които попадат в обхвата на правото на Съюза, и от друга страна, за свободното движение на тези данни (решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 30).

30

В това отношение определянето на правила за закрила срещу освобождаване на ДЛЗД, което е служител на администратор или на обработващ лични данни, има отношение към защитата на физическите лица при обработването на лични данни само доколкото тези правила целят да запазят функционалната независимост на последния съгласно член 38, параграф 3, второ изречение от ОРЗД (вж. в този смисъл решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 31).

31

От това следва, че при упражняването на запазената си компетентност всяка държава членка е свободна да установява специални разпоредби, които дават по-голяма закрила във връзка с освобождаването от длъжност на ДЛЗД, стига тези разпоредби да са съвместими с правото на Съюза и в частност с разпоредбите на ОРЗД, по-специално с член 38, параграф 3, второ изречение от него (вж. в този смисъл решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 34).

32

По-конкретно, подобна засилена закрила не бива да застрашава постигането на целите на ОРЗД. Такъв би бил случаят, ако тя е пречка администраторът или обработващият лични данни да освободи всяко ДЛЗД, което вече не притежава необходимите професионални качества, за да изпълнява задачите си съгласно член 37, параграф 5 от ОРЗД, или което не изпълнява същите в съответствие с разпоредбите на този регламент (вж. в този смисъл решение от 22 юни 2022 г., Leistritz, C‑534/20, EU:C:2022:495, т. 35).

33

В това отношение следва да се припомни, както бе посочено в точка 25 от настоящото решение, че целта на ОРЗД е да се гарантира високо ниво на защита на физическите лица в Съюза във връзка с обработването на техните лични данни, и че за постигането на тази цел ДЛЗД трябва да е състояние да изпълнява своите задължения и задачи независимо.

34

Следователно засилена закрила на ДЛЗД, която би възпрепятствала освобождаването му от длъжност, в случай че това лице не е или вече не е в състояние да изпълнява независимо задачите си поради наличието на конфликт на интереси, би застрашила постигането на тази цел.

35

Националният съд следва да се увери, че специални разпоредби като посочените в точка 31 от настоящото решение са съвместими с правото на Съюза, и по-специално с разпоредбите на ОРЗД.

36

С оглед на гореизложените съображения на първия въпрос следва да се отговори, че член 38, параграф 3, второ изречение от ОРЗД трябва да се тълкува в смисъл, че допуска национална правна уредба, съгласно която администраторът или обработващият лични данни може да освободи от длъжност ДЛЗД, което е член на персонала му, само при наличие на сериозно основание, дори когато освобождаването не е свързано с изпълнението на задачите на това ДЛЗД, стига тази правна уредба да не застрашава постигането на целите на ОРЗД.

37

Предвид отговора на първия въпрос не е необходимо да се отговаря на втория и третия въпрос.

38

С четвъртия си въпрос запитващата юрисдикция по същество иска да се установи при какви условия може да се констатира наличието на „конфликт на интереси“ по смисъла на член 38, параграф 6 от ОРЗД.

39

На първо място, що се отнася до текста на разглежданата разпоредба, следва да се отбележи, че съгласно член 38, параграф 6, второ изречение от ОРЗД „[ДЛЗД] може да изпълнява и други задачи и задължения. Администраторът или обработващият лични данни прави необходимото тези задачи и задължения да не водят до конфликт на интереси“.

40

Така от текста на тази разпоредба следва, първо, че ОРЗД не установява принципна несъвместимост между упражняването на функциите на ЗЛЗД, от една страна, и упражняването и на други функции при администратора или обработващия лични данни, от друга. Всъщност член 38, параграф 6 от този регламент изрично предвижда, че на ДЛЗД може да бъде възложено изпълнението и на други задачи и задължения, различни от възложените му по силата на член 39 от ОРЗД.

41

Второ, това не променя факта, че администраторът или обработващият лични данни трябва да направи необходимото тези други задачи и задължения да не водят до „конфликт на интереси“. С оглед на значението на тези термини в общоупотребимия език следва да се приеме, че в съответствие с преследваната от член 38, параграф 6 от ОРЗД цел на ДЛЗД не може да бъде възложено изпълнението на задачи или задължения, които биха могли да попречат на упражняването на функциите му като ДЛЗД.

42

На второ място, що се отнася до тази цел, следва да се отбележи, че подобно на останалите разпоредби, посочени в точка 25 от настоящото решение, тази разпоредба по същество обезпечава функционалната независимост на ДЛЗД и следователно гарантира ефективността на разпоредбите на ОРЗД.

43

На трето място, що се отнася до контекста, в който се вписва член 38, параграф 6 от ОРЗД, следва да се отбележи, че съгласно член 39, параграф 1, буква б) от ОРЗД ДЛЗД има за задача по-специално да наблюдава спазването на ОРЗД и на други разпоредби за защитата на данни на равнище Съюз или държава членка и на политиките на администратора или обработващия лични данни по отношение на защитата на личните данни, включително възлагането на отговорности, повишаването на осведомеността и обучението на персонала, участващ в операциите по обработване, и съответните одити.

44

От това следва по-специално, че на ДЛЗД не могат да се възлагат задачи или задължения, които биха го поставили в положение да определя целите и средствата за обработването на лични данни от администратора или от обработващия лични данни. Всъщност съгласно правото на Съюза или правото на държавите членки в областта на защитата на данните ДЛЗД трябва да осъществява независим контрол върху тези цели и средства.

45

Наличието на конфликт на интереси по смисъла на член 38, параграф 6 от ОРЗД трябва да се преценява във всеки отделен случай въз основа на всички релевантни обстоятелства, и по-специално на организационната структура на администратора или на обработващия лични данни и в светлината на всички приложими правила, включително на евентуалните вътрешни правила на последните.

46

С оглед на гореизложените съображения на четвъртия въпрос следва да се отговори, че член 38, параграф 6 от ОРЗД трябва да се тълкува в смисъл, че може да е налице „конфликт на интереси“ по смисъла на тази разпоредба, когато на ДЛЗД са възложени и други задачи или задължения, които биха го поставили в положение да определя целите и средствата за обработване на лични данни от администратора или от обработващия лични данни, което следва да се установи от националния съд във всеки отделен случай въз основа на всички релевантни обстоятелства, и по-специално на организационната структура на администратора или на обработващия лични данни и в светлината на всички приложими правила, включително на евентуалните вътрешни правила на последните.

47

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (шести състав) реши: