Asia C-534/20

Leistritz AG

vastaan

LH

(Ennakkoratkaisupyyntö – Bundesarbeitsgericht)

Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 22.6.2022

Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 38 artiklan 3 kohdan toinen virke – Tietosuojavastaava – Rekisterinpitäjää tai henkilötietojen käsittelijää koskeva kielto erottaa tietosuojavastaava tai rangaista häntä sen vuoksi, että hän on hoitanut tehtäviään – Oikeusperusta – SEUT 16 artikla – Toiminnallista riippumattomuutta koskeva vaatimus – Kansallinen lainsäädäntö, jossa kielletään tietosuojavastaavan irtisanominen, jollei siihen ole painavaa syytä

Yksilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Tietosuojavastaava – Asema –Rekisterinpitäjää tai henkilötietojen käsittelijää koskeva kielto erottaa tietosuojavastaava tai rangaista häntä sen vuoksi, että hän on hoitanut tehtäviään – Kansallinen lainsäädäntö, jossa kielletään tietosuojavastaavan irtisanominen, jollei siihen ole painavaa syytä – Irtisanominen, joka ei liity siihen, että tietosuojavastaava on hoitanut tehtäviään – Hyväksyttävyys – Edellytys – Mainitussa asetuksessa säädettyjen tavoitteiden kunnioittaminen

(Euroopan parlamentin ja neuvoston asetuksen 2016/679 38 artiklan 3 kohdan toinen virke)

(ks. 21–36 kohta ja tuomiolauselma)

Tiivistelmä

LH toimi 1.2.2018 alkaen tietosuojavastaavana Leistritz AG -yhtiössä. Mainittu yhtiö on Saksan lainsäädännön mukaan velvollinen nimittämään tietosuojavastaavan. Leistritz irtisanoi LH:n heinäkuussa 2018 irtisanomisaikaa noudattaen, ja se perusteli irtisanomista toimintansa uudelleenjärjestelyllä, jonka yhteydessä tietosuojapalvelu ulkoistettiin.

Asiakysymystä käsitelleet tuomioistuimet, joissa LH oli riitauttanut irtisanomisensa pätevyyden, katsoivat irtisanomisen pätemättömäksi. Saksan liittotasavallan lainsäädännön mukaan LH voitiin näet tietosuojavastaavan asemansa vuoksi irtisanoa ilman irtisanomisaikaa vain painavasta syystä. Leistritzin toiminnan uudelleenjärjestelytoimenpide ei kuitenkaan ole tällainen peruste.

Bundesarbeitsgericht (liittovaltion ylin työtuomioistuin, Saksa), jonka käsiteltäväksi Leistritz saattoi Revision-valituksen, pohtii, sallitaanko yleisessä tietosuoja-asetuksessa ( 1 ) jäsenvaltion lainsäädäntö, jossa asetetaan tietosuojavastaavan irtisanomiselle edellytyksiä, jotka ovat tiukempia kuin unionin oikeudessa säädetyt.

Unionin tuomioistuin katsoo tuomiossaan, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toinen virke ( 2 ) ei ole esteenä kansalliselle lainsäädännölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi irtisanoa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä. Tätä päättelyä sovelletaan myös, vaikka irtisanominen ei liittyisi tietosuojavastaavan tehtävien hoitamiseen, kunhan tällainen lainsäädäntö ei vaaranna yleisen tietosuoja-asetuksen tavoitteiden saavuttamista.

Unionin tuomioistuimen arviointi asiasta

Unionin tuomioistuin korostaa ensinnäkin, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisen virkkeen mukaan rekisterinpitäjää tai henkilötietojen käsittelijää koskeva kielto erottaa tietosuojavastaava tai rangaista häntä merkitsee sitä, että tietosuojavastaavaa on suojattava kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen. Tietosuojavastaavan työnantajan toteuttama irtisanomistoimenpide, jolla lopetetaan tietosuojavastaavan ja kyseisen työnantajan välinen työsuhde, voi siten olla tällainen päätös. Unionin tuomioistuin täsmentää tästä työsuhteesta, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toista virkettä sovelletaan sekä tietosuojavastaavaan, joka on rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen, että tietosuojavastaavaan, joka hoitaa tehtäviään rekisterinpitäjän tai henkilötietojen käsittelijän kanssa tehdyn palvelusopimuksen perusteella. Tätä säännöstä on siis tarkoitus soveltaa tietosuojavastaavan ja rekisterinpitäjän tai henkilötietojen käsittelijän välisiin suhteisiin riippumatta siitä, minkälainen työsuhde yhdistää tietosuojavastaavan viimeksi mainittuihin. Samassa säännöksessä asetetaan lisäksi rajoitus, joka koskee kieltoa irtisanoa tietosuojavastaava syistä, jotka liittyvät siihen, että hän on hoitanut tehtäviään ( 3 ).

Toiseksi yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisen virkkeen tavoitteesta mainitussa asetuksessa ( 4 ) todetaan, että tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti ja yleisen tietosuoja-asetuksen tavoitteen mukaisesti ( 5 ), olipa hän palvelussuhteessa rekisterinpitäjään tai ei. Tietosuojavastaavan toiminnallisen riippumattomuuden takaamista koskeva tavoite ( 6 ) edellyttää siten, että tietosuojavastaava ei ota vastaan ohjeita tehtäviensä hoitamisen yhteydessä, että hän raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle ja että tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus. Yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisella virkkeellä pyritään näin ollen säilyttämään tietosuojavastaavan riippumattomuus siltä osin kuin kyseisellä säännöksellä suojataan häntä kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen. Tämän säännöksen tarkoituksena ei sitä vastoin ole säännellä kokonaisvaltaisesti rekisterinpitäjän tai henkilötietojen käsittelijän ja sen henkilöstön jäsenten välisiä työsuhteita.

Kolmanneksi ja viimeiseksi unionin tuomioistuin täsmentää siitä asiayhteydestä, johon tietosuoja-asetuksen 38 artiklan 3 kohdan toinen virke kuuluu, että tässä säännöksessä säädettyä tietosuojavastaavan erityistä suojaa lukuun ottamatta rekisterinpitäjän tai henkilötietojen käsittelijän palveluksessa olevan tietosuojavastaavan irtisanomissuoja ei kuulu yleisen tietosuoja-asetuksen ( 7 ) perusteella annettavien sääntöjen vaan sosiaalipolitiikan alaan. Unionilla ja jäsenvaltioilla on sosiaalipolitiikan alalla jaettu toimivalta ( 8 ). Unioni tukee ja täydentää jäsenvaltioiden toimintaa työntekijöiden suojelemisen alalla työsopimuksen päättymisen yhteydessä vahvistamalla tätä koskevia vähimmäisvaatimuksia. Kukin jäsenvaltio voi näin ollen toimivaltaansa käyttäessään antaa erityisiä säännöksiä, joilla tietosuojavastaavaa suojataan irtisanomiselta vielä enemmän, kunhan nämä säännökset ovat yhteensopivia yleisen tietosuoja-asetuksen säännösten kanssa. Tällainen laajempi suoja ei etenkään saa vaarantaa yleisen tietosuoja-asetuksen tavoitteiden saavuttamista. Näin olisi, jos se estäisi rekisterinpitäjää tai henkilötietojen käsittelijää irtisanomasta sellaista tietosuojavastaavaa, jolla ei ole enää tehtäviensä hoitamiseen vaadittua ammattipätevyyttä tai joka ei suorita niitä yleisen tietosuoja-asetuksen säännösten mukaisesti.

( 1 ) Ks. erityisesti luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus) 38 artiklan 3 kohdan toinen virke.

( 2 ) Yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisen virkkeen mukaan rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään.

( 3 ) Yleisen tietosuoja-asetuksen 39 artiklan 1 kohdan b alakohdan mukaan näihin tehtäviin kuuluu erityisesti velvollisuus seurata, että noudatetaan unionin tai jäsenvaltioiden tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan.

( 4 ) Erityisesti yleisen tietosuoja-asetuksen johdanto-osan 97 perustelukappale.

( 5 ) Kuten yleisen tietosuoja-asetuksen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, sillä pyritään muun muassa varmistamaan luonnollisten henkilöiden suojelun korkea taso unionissa.

( 6 ) Kuten yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan ensimmäisestä, toisesta ja kolmannesta virkkeestä sekä 38 artiklan 5 kohdasta ilmenee.

( 7 ) SEUT 16 artiklan 2 kohdan, joka on yleisen tietosuoja-asetuksen oikeusperusta, nojalla on mahdollista vahvistaa sääntöjä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta.

( 8 ) SEUT 4 artiklan 2 kohdan b alakohdan mukaan.