Sag C-534/20

Leistritz AG

mod

LH

(anmodning om præjudiciel afgørelse indgivet af Bundesarbeitsgericht)

Domstolens dom (Første Afdeling) af 22. juni 2022

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 38, stk. 3, andet punktum – databeskyttelsesrådgiver – forbud mod, at en dataansvarlig eller en databehandler afskediger eller straffer en databeskyttelsesrådgiver for at udføre sine opgaver – retsgrundlag – artikel 16 TEUF – krav om funktionel uafhængighed – national lovgivning, der forbyder afskedigelse af en databeskyttelsesrådgiver uden en vægtig grund«

Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – databeskyttelsesrådgiver – formål – forbud mod, at en dataansvarlig eller en databehandler afskediger eller straffer en databeskyttelsesrådgiver for at udføre sine opgaver – national lovgivning, der forbyder afskedigelse af en databeskyttelsesrådgiver uden en vægtig grund – afskedigelse ikke forbundet med denne rådgivers udførelse af sine opgaver – lovlighed – betingelse – overholdelse af forordningens formål

(Europa-Parlamentets og Rådets forordning 2016/679, art. 38, stk. 3, andet punktum)

(jf. præmis 21-36 samt domskonkl.)

Resumé

LH arbejdede fra den 1. februar 2018 som databeskyttelsesrådgiver ved selskabet Leistritz AG. Dette selskab er forpligtet til i medfør af den tyske lovgivning at udpege en databeskyttelsesrådgiver. I juli 2018 varslede Leistritz, at selskabet ville afskedige LH, og påberåbte sig derved en omstrukturering af virksomheden, i forbindelse med hvilken området for databeskyttelse blev udliciteret.

De retsinstanser, for hvilke LH havde indbragt sagen for at anfægte gyldigheden af afskedigelsen, fastslog, at afskedigelsen var ugyldig. I henhold til bestemmelserne i den tyske forbundslovgivning kunne LH nemlig i sin egenskab af databeskyttelsesrådgiver kun afskediges uden varsel af vægtige grunde. Omstruktureringen af Leistritz’ aktiviteter udgjorde imidlertid ikke en sådan grund.

Efter appel iværksat af Leistritz ved Bundesarbeitsgericht (forbundsdomstol i arbejdsretlige sager) var denne ret i tvivl om, hvorvidt den generelle forordning om databeskyttelse ( 1 ) tillader en lovgivning i en medlemsstat, hvorefter en afskedigelse af en databeskyttelsesrådgivers ansættelsesforhold er underlagt strengere betingelser end i henhold til EU-retten.

Domstolen fastslog i sin dom, at databeskyttelsesforordningens artikel 38, stk. 3, andet punktum ( 2 ), ikke er til hinder for en national lovgivning, der fastsætter, at en dataansvarlig eller en databehandler kun kan afskedige en databeskyttelsesrådgiver, der er ansat hos den pågældende, af en vægtig grund. Dette ræsonnement finder anvendelse, selv om afskedigelsen ikke er forbundet med denne rådgivers udøvelse af sine opgaver, for så vidt som en sådan lovgivning ikke bringer gennemførelsen af databeskyttelsesforordningens formål i fare.

Domstolens bemærkninger

Domstolen fremhævede for det første, at i overensstemmelse med databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, betyder forbuddet mod, at den dataansvarlige eller databehandleren afskediger eller straffer en databeskyttelsesrådgiver, at denne rådgiver skal være beskyttet mod enhver afgørelse, hvorved den pågældendes hverv bringes til ophør, den pågældende stilles ringere, eller som udgør en sanktion. En foranstaltning, hvorved en databeskyttelsesrådgiver afskediges, som træffes af dennes arbejdsgiver, og som bringer det ansættelsesforhold, der eksisterer mellem rådgiveren og denne arbejdsgiver, til ophør, kan således udgøre en sådan afgørelse. Domstolen præciserede for så vidt angår dette ansættelsesforhold, at databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, finder anvendelse på såvel den databeskyttelsesrådgiver, der er den dataansvarliges eller databehandlerens medarbejder, som på den, der udøver hvervet på grundlag af en tjenesteydelseskontrakt indgået med de sidstnævnte. Denne bestemmelse finder således anvendelse på forholdet mellem en databeskyttelsesrådgiver og en dataansvarlig eller en databehandler, uanset arten af det ansættelsesforhold, som knytter denne rådgiver til de sidstnævnte. Denne bestemmelse fastsætter i øvrigt en grænse, der består i at forbyde afskedigelse af databeskyttelsesrådgiveren på grund af dennes udøvelse af sine opgaver ( 3 ).

Hvad for det andet angår det formål, der forfølges med databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, fastsætter denne forordning ( 4 ), at databeskyttelsesrådgivere, uanset om de er ansat hos den dataansvarlige eller ej, skal være i stand til at udøve deres hverv på uafhængig vis i overensstemmelse med databeskyttelsesforordningens formål ( 5 ). Formålet om at sikre databeskyttelsesrådgiverens funktionelle uafhængighed ( 6 ) forudsætter således, at denne rådgiver ikke modtager instrukser vedrørende udførelsen af sine opgaver og rapporterer direkte til det øverste ledelsesniveau hos den dataansvarlige eller databehandleren, og at den nævnte rådgiver er underlagt tavshedspligt eller fortrolighed. Databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, har følgelig til formål at bevare databeskyttelsesrådgiverens uafhængighed, i det omfang denne bestemmelse beskytter den pågældende mod enhver afgørelse i forbindelse med dennes hverv, der bringer dette til ophør, stiller den pågældende ringere eller udgør en sanktion. Denne bestemmelse har derimod ikke til formål generelt at regulere arbejdsforhold mellem en dataansvarlig eller en databehandler og deres ansatte.

Hvad endelig for det tredje angår den sammenhæng, hvori databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, indgår, præciserede Domstolen, at ud over den særlige beskyttelse af databeskyttelsesrådgiveren, der er fastsat i denne bestemmelse, henhører den beskyttelse mod afskedigelse af en databeskyttelsesrådgiver, der er ansat af en dataansvarlig eller en databehandler, ikke under de regler, der kan vedtages på grundlag af databeskyttelsesforordningen ( 7 ), men under det socialpolitiske område. Unionen og medlemsstaterne råder over en delt kompetence på dette område ( 8 ). Unionen støtter og supplerer medlemsstaternes indsats på området for beskyttelse af arbejdstagerne i tilfælde af opsigelse af ansættelseskontrakten ved fastsættelse af minimumsforskrifter i denne henseende. Hver medlemsstat kan ved udøvelsen af sin kompetence frit fastsætte særlige bestemmelser om øget beskyttelse vedrørende afskedigelse af databeskyttelsesrådgiveren, for så vidt som disse bestemmelser er forenelige med databeskyttelsesforordningens bestemmelser. Navnlig må en sådan beskyttelse ikke bringe opfyldelsen af databeskyttelsesforordningens formål i fare. Dette ville imidlertid være tilfældet, hvis den forhindrede enhver afskedigelse foretaget af en dataansvarlig eller en databehandler af en databeskyttelsesrådgiver, som ikke længere besidder de faglige kvalifikationer, der er nødvendige for udførelsen af dennes opgaver, eller som ikke opfylder disse i henhold til databeskyttelsesforordningens bestemmelser.

( 1 ) – Jf. bl.a. artikel 38, stk. 3, andet punktum, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

( 2 ) – I henhold til databeskyttelsesforordningens artikel 38, stk. 3, andet punktum, må den pågældende ikke afskediges eller straffes af den dataansvarlige eller af databehandleren for at udføre sine opgaver.

( 3 ) – I henhold til databeskyttelsesforordningens artikel 39, stk. 1, litra b), omfatter disse opgaver navnlig overvågning af overholdelsen af EU-retten eller national ret i medlemsstaterne på området for databeskyttelse og af den dataansvarliges eller af databehandlerens politikker om beskyttelse af personoplysninger.

( 4 ) – Navnlig 97. betragtning til databeskyttelsesforordningen.

( 5 ) – Som det fremgår af tiende betragtning til databeskyttelsesforordningen, har denne bl.a. til formål at sikre et højt beskyttelsesniveau for fysiske personer i Unionen.

( 6 ) – Som det følger af både databeskyttelsesforordningens artikel 38, stk. 3, første, andet og tredje punktum, og artikel 38, stk. 5.

( 7 ) – Artikel 16, stk. 2, TEUF, som danner retsgrundlaget for databeskyttelsesforordningen, giver adgang til, at der fastsættes regler om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og den frie udveksling af disse.

( 8 ) – I medfør af artikel 4, stk. 2, litra b), TEUF.