UNIONIN TUOMIOISTUIMEN TUOMIO (kuudes jaosto)

9 päivänä helmikuuta 2023 ( *1 )

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 38 artiklan 3 kohta – Tietosuojavastaava – Kielto erottaa tietosuojavastaava sen vuoksi, että hän on hoitanut tehtäviään – Toiminnallista riippumattomuutta koskeva vaatimus – Kansallinen säännöstö, jossa kielletään tietosuojavastaavan erottaminen, jos sille ei ole painavaa perustetta – 38 artiklan 6 kohta – Eturistiriita – Arviointiperusteet

Asiassa C‑453/21,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Bundesarbeitsgericht (liittovaltion ylin työtuomioistuin, Saksa) on esittänyt 27.4.2021 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 21.7.2021, saadakseen ennakkoratkaisun asiassa

X‑FAB Dresden GmbH & Co. KG

vastaan

FC,

UNIONIN TUOMIOISTUIN (kuudes jaosto),

toimien kokoonpanossa: jaoston puheenjohtaja P. G. Xuereb sekä tuomarit A. Kumin ja I. Ziemele (esittelevä tuomari),

julkisasiamies: J. Richard de la Tour,

kirjaaja: yksikön päällikkö D. Dittert,

ottaen huomioon kirjallisessa käsittelyssä ja 26.9.2022 pidetyssä istunnossa esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–	X‑FAB Dresden GmbH & Co. KG, edustajanaan S. Leese, Rechtsanwalt,

–	FC, edustajinaan R. Buschmann ja T. Heller, Prozessbevollmächtigte,

–	Saksan hallitus, asiamiehinään J. Möller, D. Klebs ja P.‑L. Krüger,

–	Euroopan parlamentti, asiamiehinään O. Hrstková Šolcová ja B. Schäfer,

–	Euroopan unionin neuvosto, asiamiehinään T. Haas ja K. Pleśniak,

–	Euroopan komissio, asiamiehinään A. Bouchagiar, K. Herrmann ja H. Kranenborg,

päätettyään julkisasiamiestä kuultuaan ratkaista asian ilman ratkaisuehdotusta,

on antanut seuraavan

tuomion

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja‑asetus) (EUVL 2016, L 119, s. 1) 38 artiklan 3 kohdan toisen virkkeen tulkintaa ja pätevyyttä sekä tämän asetuksen 38 artiklan 6 kohdan tulkintaa.

2	Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat X‑FAB Dresden GmbH & Co. KG (jäljempänä X‑FAB) ja tämän työntekijä FC ja joka koskee sitä, että X‑FAB on erottanut FC:n tietosuojavastaavan tehtävästään.

Asiaa koskevat oikeussäännöt

Unionin oikeus

Yleisen tietosuoja‑asetuksen johdanto‑osan 10 ja 97 perustelukappaleessa todetaan seuraavaa:

”(10)

Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –

– –

(97)	– – Tällaisen tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei.”

Yleisen tietosuoja‑asetuksen 37 artiklan, jonka otsikko on ”Tietosuojavastaavan nimittäminen”, 5 ja 6 kohdassa säädetään seuraavaa:

”5. Tietosuojavastaavaa nimitettäessä otetaan huomioon henkilön ammattipätevyys ja erityisesti asiantuntemus tietosuojalainsäädännöstä ja alan käytänteistä sekä valmiudet suorittaa 39 artiklassa tarkoitetut tehtävät.

6. Tietosuojavastaava voi olla rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen tai tietosuojavastaava voi hoitaa tehtäviään palvelusopimuksen perusteella.”

Yleisen tietosuoja‑asetuksen 38 artiklan, jonka otsikko on ”Tietosuojavastaavan asema”, 3, 5 ja 6 kohdassa säädetään seuraavaa:

”3. Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, ettei tietosuojavastaava ota vastaan ohjeita näiden tehtävien hoitamisen yhteydessä. Rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään. Tietosuojavastaava raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle.

– –

5. Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.

6. Tietosuojavastaava voi suorittaa muita tehtäviä ja velvollisuuksia. Rekisterinpitäjän tai henkilötietojen käsittelijän on varmistettava, että tällaiset tehtävät ja velvollisuudet eivät aiheuta eturistiriitoja.”

Tietosuoja‑asetuksen 39 artiklassa, jonka otsikko on ”Tietosuojavastaavan tehtävät”, säädetään seuraavaa:

”1. Tietosuojavastaavalla on oltava ainakin seuraavat tehtävät:

a)	antaa rekisterinpitäjälle tai henkilötietojen käsittelijälle sekä henkilötietoja käsitteleville työntekijöille tietoja ja neuvoja, jotka koskevat niiden tämän asetuksen ja muiden unionin tai jäsenvaltioiden tietosuojasäännösten mukaisia velvollisuuksia;

seurata, että noudatetaan tätä asetusta, muita unionin tai jäsenvaltion tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tiedon lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset;

c)	antaa pyydettäessä neuvoja tietosuojaa koskevasta vaikutustenarvioinnista ja valvoa sen toteutusta 35 artiklan mukaisesti;

d)	tehdä yhteistyötä valvontaviranomaisen kanssa;

e)	toimia valvontaviranomaisen yhteyspisteenä käsittelyyn liittyvissä kysymyksissä, mukaan lukien 36 artiklan mukainen ennakkokuuleminen ja tarvittaessa kuuleminen muista mahdollisista kysymyksistä.

2. Tietosuojavastaavan on tehtäviään suorittaessaan otettava asianmukaisesti huomioon käsittelytoimiin liittyvä riski ottaen samalla huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset.”

Saksan oikeus

Liittovaltion tietosuojalaki

Liittovaltion tietosuojalain (Bundesdatenschutzgesetz), joka annettiin 20.12.1990 (BGBl. 1990 I, s. 2954), sellaisena kuin se on ollut voimassa 25.5.2018–25.11.2019 (BGBl. 2017 I, s. 2097) (jäljempänä liittovaltion tietosuojalaki) 6 §:ssä, jonka otsikko on ”Asema”, 4 momentissa säädetään seuraavaa:

”Tietosuojavastaavan erottaminen on sallittua vain soveltaen vastaavasti [siviililain (Bürgerliches Gesetzbuch), sellaisena kuin se on julkaistuna 2.1.2002 (BGBl. 2002 I, s. 42 sekä oikaisut BGBl. 2002 I, s. 2909 ja BGBl. 2003 I, s. 738)], 626 §:ää. Tietosuojavastaavan irtisanominen on kiellettyä, ellei ole olemassa tosiseikkoja, jotka oikeuttavat julkishallinnon elimen irtisanomaan painavasta syystä ilman irtisanomisaikaa. Tietosuojavastaavan työsuhteen irtisanominen vuoden kuluessa siitä, kun työskentely tietosuojavastaavana on päättynyt, on kiellettyä, ellei julkishallinnon elin ole oikeutettu irtisanomaan painavasta syystä ilman irtisanomisaikaa.”

Liittovaltion tietosuojalain 38 §:ssä, jonka otsikko on ”Muiden kuin julkishallinnon elinten tietosuojavastaavat”, säädetään seuraavaa:

”(1) Yleisen tietosuoja‑asetuksen 37 artiklan 1 kohdan b ja c alakohtaa täydentäen säädetään, että rekisterinpitäjän ja henkilötietojen käsittelijän on nimettävä tietosuojavastaava, jos niiden palveluksessa työskentelee vähintään kymmenen henkilöä jatkuvasti henkilötietojen automaattisen käsittelyn parissa. – –

(2) Edellä 6 §:n 4 momenttia, 5 momentin toista virkettä ja 6 momenttia sovelletaan; 6 §:n 4 momenttia sovelletaan kuitenkin vain, jos tietosuojavastaavan nimittäminen on pakollista.”

Siviililaki

Siviililain 626 §:ssä, jonka otsikko on ”Irtisanominen ilman irtisanomisaikaa painavasta syystä”, säädetään seuraavaa:

”(1) Kumpikin sopimuspuoli voi irtisanoa työsuhteen painavasta syystä ilman irtisanomisaikaa, jos on olemassa tosiseikkoja, joiden vuoksi irtisanovan sopimuspuolen ei voida kohtuudella edellyttää jatkavan työsuhdetta irtisanomisajan päättymiseen tai työsuhteen sovittuun päättymisajankohtaan saakka, kun otetaan huomioon kaikki kyseisen tapauksen olosuhteet ja punnitaan molempien sopimuspuolten etuja.

(2) Irtisanominen voi tapahtua vain kahden viikon kuluessa. Määräaika alkaa ajankohdasta, jona irtisanomiseen oikeutettu saa tiedon irtisanomisen kannalta merkityksellisistä tosiseikoista. – –”

Pääasia ja ennakkoratkaisukysymykset

10	FC on ollut X‑FAB:n palveluksessa 1.11.1993 lähtien.

11	Hän on yrityksen yritysneuvoston puheenjohtaja ja tämän vuoksi osittain vapautettu työstä. Hän toimii lisäksi yritysryhmän, johon X‑FAB kuuluu, kolmea Saksaan sijoittautunutta yritystä varten perustetun yritysneuvoston varapuheenjohtajana.

Kukin yritys erikseen nimitti FC:n 1.6.2015 alkaen X‑FAB:n, sen emoyhtiön sekä emoyhtiön muiden Saksaan sijoittautuneiden tytäryhtiöiden tietosuojavastaavaksi. Ennakkoratkaisua pyytäneen tuomioistuimen mukaan FC:n nimittämisellä samanaikaisesti kaikkien näiden yritysten tietosuojavastaavaksi oli tarkoitus varmistaa yhtenäinen tietosuojan taso mainituissa yrityksissä.

Thüringenin (Saksa) tietosuojavaltuutetun määräyksestä X‑FAB ja edellä 12 kohdassa mainitut yritykset erottivat 1.12.2017 päivätyillä kirjeillä FC:n tietosuojavastaavan tehtävistä välittömin vaikutuksin. Nämä yritykset toistivat kaiken varalta 25.5.2018 päivätyillä erillisillä kirjeillä menettelynsä yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toisen virkkeen, joka on tällä välin tullut voimaan, perusteella vetoamalla syihin, jotka liittyvät yritysryhmään, johon X‑FAB kuuluu.

FC:n Saksan tuomioistuimissa nostamassa kanteessa vaaditaan toteamaan, että hän on edelleen X‑FAB:n tietosuojavastaava. X‑FAB väittää, että on olemassa eturistiriidan vaara, jos FC toimii samanaikaisesti sekä tietosuojavastaavana että yritysneuvoston puheenjohtajana, koska nämä kaksi tehtävää eivät ole yhteensopivia. Näin ollen on olemassa painava syy FC:n erottamiselle tietosuojavastaavan tehtävistä.

15	Ensimmäisen oikeusasteen tuomioistuin ja muutoksenhakutuomioistuin hyväksyivät FC:n nostaman kanteen. X‑FAB:n Bundesarbeitsgerichtiin (liittovaltion ylin työtuomioistuin, Saksa) eli ennakkoratkaisua pyytäneeseen tuomioistuimeen tekemän Revision‑valituksen tavoitteena on tämän kanteen hylkääminen.

Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, että kanteen ratkaisu riippuu unionin oikeuden tulkinnasta. Erityisesti on kysyttävä yhtäältä, onko yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toinen virke esteenä sille, että jäsenvaltion lainsäädännössä asetetaan tietosuojavastaavan erottamiselle unionin oikeudessa säädettyjä edellytyksiä tiukemmat edellytykset, ja jos näin on, onko tällä säännöksellä riittävä oikeusperusta. Jos unionin tuomioistuin katsoo, että liittovaltion tietosuojalaissa erottamiselle asetetut edellytykset ovat unionin oikeuden mukaisia, olisi määritettävä, voiko yksi ja sama henkilö hoitaa saman yrityksen yritysneuvoston puheenjohtajan ja tietosuojavastaavan tehtäviä vai johtaako tämä yleisen tietosuoja‑asetuksen 38 artiklan 6 kohdan toisessa virkkeessä tarkoitettuun eturistiriitaan.

Tässä tilanteessa Bundesarbeitsgericht päätti lykätä pääasian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)

Onko [yleisen tietosuoja‑asetuksen] 38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä nyt käsiteltävässä asiassa kyseessä oleville [liittovaltion tietosuojalain] 38 §:n 1 ja 2 momentin, luettuina yhdessä kyseisen lain 6 §:n 4 momentin ensimmäisen virkkeen kanssa, kaltaisille kansallisille säännöksille, joiden mukaan sitä, että rekisterinpitäjä, joka on tietosuojavastaavan työnantaja, erottaa tietosuojavastaavan, koskevat tietyt edellytykset riippumatta siitä, tapahtuuko erottaminen sen vuoksi, että tietosuojavastaava on hoitanut tehtäviään?

Jos ensimmäiseen kysymykseen vastataan myöntävästi:

Onko yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toinen virke esteenä tällaisille kansallisille säännöksille myös silloin, kun tietosuojavastaavan nimittäminen ei ole pakollista yleisen tietosuoja‑asetuksen 37 artiklan 1 kohdan nojalla vaan se on sitä ainoastaan jäsenvaltion lainsäädännön nojalla?

Jos ensimmäiseen kysymykseen vastataan myöntävästi:

3)	Perustuuko yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toinen virke riittävään oikeusperustaan etenkin siltä osin kuin se koskee tietosuojavastaavia, jotka ovat työsuhteessa rekisterinpitäjään?

Jos ensimmäiseen kysymykseen vastataan kieltävästi:

Onko kyseessä yleisen tietosuoja‑asetuksen 38 artiklan 6 kohdan toisessa virkkeessä tarkoitettu eturistiriita, jos tietosuojavastaava toimii samanaikaisesti rekisterinpitäjän yritysneuvoston puheenjohtajana? Edellyttääkö se, että kyseessä katsotaan olevan tällainen eturistiriita, erityistä tehtävänantoa yritysneuvoston sisällä?”

Ennakkoratkaisukysymysten tarkastelu

Ensimmäinen kysymys

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiallisesti, onko yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi erottaa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka erottaminen ei liity hänen tehtäviensä hoitamiseen.

Kuten vakiintuneesta oikeuskäytännöstä ilmenee, unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto sen tavanomaisen merkityksen mukaan, joka sillä on yleiskielessä, myös sen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös tai määräys on (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 18 kohta oikeuskäytäntöviittauksineen).

20	Yhtäältä kyseessä olevan säännöksen sanamuodosta on todettava, että yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toisessa virkkeessä säädetään, että ”rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään”.

Tältä osin unionin tuomioistuin totesi 22.6.2022 antamassaan tuomiossa Leistritz (C‑534/20, EU:C:2022:495, 20 ja 21 kohta), että yleisessä tietosuoja‑asetuksessa ei määritellä sen 38 artiklan 3 kohdan toisessa virkkeessä olevia ilmaisuja ”erottaa”, ”rangaista” ja ”sen vuoksi, että hän on hoitanut tehtäviään”, ja korosti ensiksi, että näillä ilmaisuilla yleiskielessä olevan merkityksen mukaisesti rekisterinpitäjälle tai henkilötietojen käsittelijälle asetettu kielto erottaa tietosuojavastaava tai rangaista häntä tarkoittaa sitä, että tietosuojavastaavaa on suojeltava kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen.

22	Tällainen päätös voi olla työnantajan suorittama tietosuojavastaavan erottaminen, josta seuraisi tietosuojavastaavan vapauttaminen rekisterinpitäjän tai tämän henkilötietojen käsittelijän palveluksessa suoritettavista tehtävistä.

Toiseksi on todettava – kuten unionin tuomioistuin on myös todennut –, että yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toista virkettä sovelletaan yleisen tietosuoja‑asetuksen 37 artiklan 6 kohdan mukaisesti erotuksetta sekä tietosuojavastaavaan, joka on rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen, että tietosuojavastaavaan, joka hoitaa tehtäviään rekisterinpitäjän tai henkilötietojen käsittelijän kanssa tehdyn palvelusopimuksen perusteella, joten 38 artiklan 3 kohdan toista virkettä on tarkoitus soveltaa tietosuojavastaavan ja rekisterinpitäjän tai henkilötietojen käsittelijän välisiin suhteisiin riippumatta siitä, minkälainen työsuhde yhdistää tietosuojavastaavan viimeksi mainittuihin (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 23 ja 24 kohta).

Kolmanneksi on todettava, että viimeksi mainitussa säännöksessä asetetaan rajoitus, joka koskee kieltoa erottaa tietosuojavastaava syystä, joka liittyy siihen, että hän on hoitanut tehtäviään, joihin kuuluu yleisen tietosuoja‑asetuksen 39 artiklan 1 kohdan b alakohdan mukaan erityisesti velvollisuus seurata, että noudatetaan unionin tai jäsenvaltioiden tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan (ks. vastaavasti tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 25 kohta).

Toisaalta yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toisen virkkeen tavoitteesta on todettava ensinnäkin, että mainitun asetuksen johdanto‑osan 97 perustelukappaleessa todetaan, että tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei. Tässä yhteydessä tällaisen riippumattomuuden on välttämättä mahdollistettava se, että tietosuojavastaavat voivat hoitaa näitä tehtäviä yleisen tietosuoja‑asetuksen tavoitteen mukaisesti; kuten mainitun asetuksen johdanto‑osan kymmenennestä perustelukappaleesta ilmenee, sillä pyritään muun muassa varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu unionissa ja tätä varten varmistamaan näiden henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 26 kohta oikeuskäytäntöviittauksineen).

Toiseksi tietosuojavastaavan toiminnallisen riippumattomuuden takaamista koskeva tavoite, sellaisena kuin se ilmenee yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toisesta virkkeestä, käy ilmi myös kyseisen asetuksen 38 artiklan 3 kohdan ensimmäisestä ja kolmannesta virkkeestä, joissa edellytetään, että tietosuojavastaava ei ota vastaan ohjeita tehtäviensä hoitamisen yhteydessä ja että hän raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle, sekä kyseisen 38 artiklan 5 kohdasta, jossa säädetään, että tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 27 kohta).

Kun yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toisessa virkkeessä suojataan tietosuojavastaavaa kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen, silloin, kun tällainen päätös liittyy hänen tehtäviensä hoitamiseen, on katsottava, että kyseisellä säännöksellä pyritään pääasiallisesti säilyttämään tietosuojavastaavan toiminnallinen riippumattomuus ja näin ollen takaamaan yleisen tietosuoja‑asetuksen säännösten tehokkuus (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 28 kohta).

28	Kuten unionin tuomioistuin on myös todennut, kolmanneksi tätä tulkintaa tukee mainitun säännöksen asiayhteys ja erityisesti se oikeusperusta, jonka nojalla unionin lainsäätäjä on antanut yleisen tietosuoja‑asetuksen (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 29 kohta).

Yleisen tietosuoja‑asetuksen johdanto‑osasta näet ilmenee, että mainittu asetus on annettu SEUT 16 artiklan perusteella, jonka 2 kohdassa määrätään muun muassa, että Euroopan parlamentti ja neuvosto antavat tavallista lainsäätämisjärjestystä noudattaen yhtäältä luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, silloin kun viimeksi mainitut toteuttavat unionin oikeuden soveltamisalaan kuuluvaa toimintaa, suorittamaa henkilötietojen käsittelyä, sekä toisaalta säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta (tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 30 kohta).

Tältä osin niiden sääntöjen vahvistaminen, jotka koskevat rekisterinpitäjän tai henkilötietojen käsittelijän palveluksessa olevan tietosuojavastaavan suojaa erottamista vastaan, kuuluu luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä vain siltä osin kuin tällaisilla säännöillä pyritään säilyttämään tietosuojavastaavan toiminnallinen riippumattomuus tietosuoja‑asetuksen 38 artiklan 3 kohdan toisen virkkeen mukaisesti (ks. vastaavasti tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 31 kohta).

Tästä seuraa, että kukin jäsenvaltio voi sille kuuluvaa toimivaltaa käyttäessään antaa erityisiä säännöksiä, joilla tietosuojavastaavaa suojataan erottamiselta vielä enemmän, kunhan nämä säännökset ovat yhteensopivia unionin oikeuden ja erityisesti yleisen tietosuoja‑asetuksen säännösten, ennen kaikkea sen 38 artiklan 3 kohdan toisen virkkeen, kanssa (ks. vastaavasti tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 34 kohta).

On erityisesti todettava, että tällainen laajempi suoja ei saa vaarantaa yleisen tietosuoja‑asetuksen tavoitteiden saavuttamista. Näin olisi, jos se estäisi rekisterinpitäjää tai henkilötietojen käsittelijää erottamasta sellaista tietosuojavastaavaa, jolla ei ole enää tehtäviensä hoitamiseen vaadittua ammattipätevyyttä tai joka ei suorita niitä yleisen tietosuoja‑asetuksen säännösten mukaisesti. (ks. vastaavasti tuomio 22.6.2022, Leistritz, C‑534/20, EU:C:2022:495, 35 kohta).

Tässä yhteydessä on muistutettava, että – kuten edellä 25 kohdassa on todettu – yleisellä tietosuoja‑asetuksella pyritään varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu unionissa henkilötietojen käsittelyn osalta ja että tämän tavoitteen saavuttamiseksi tietosuojavastaavan on voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti.

34	Näin ollen tietosuojavastaavan laajempi suoja, joka estäisi hänen erottamisensa tilanteessa, jossa hän ei kykenisi tai ei enää kykenisi suorittamaan tehtäviään riippumattomasti eturistiriidan vuoksi, vaarantaisi tämän tavoitteen saavuttamisen.

35	Kansallisen tuomioistuimen tehtävänä on varmistua siitä, että edellä 31 kohdassa tarkoitetun kaltaiset erityissäännökset ovat yhteensopivia unionin oikeuden ja erityisesti yleisen tietosuoja‑asetuksen säännösten kanssa.

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja‑asetuksen 38 artiklan 3 kohdan toista virkettä on tulkittava siten, että se ei ole esteenä kansalliselle säännöstölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi erottaa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka erottaminen ei liity tietosuojavastaavan tehtävien hoitamiseen, kunhan tällainen säännöstö ei vaaranna yleisen tietosuoja‑asetuksen tavoitteiden saavuttamista.

Toinen ja kolmas kysymys

37	Kun otetaan huomioon ensimmäiseen kysymykseen annettu vastaus, toiseen ja kolmanteen kysymykseen ei ole tarpeen vastata.

Neljäs kysymys

38	Neljännellä kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, millä edellytyksillä yleisen tietosuoja‑asetuksen 38 artiklan 6 kohdassa tarkoitetun eturistiriidan olemassaolo voidaan todeta.

Ensinnäkin kyseisen säännöksen sanamuodosta on todettava, että yleisen tietosuoja‑asetuksen 38 artiklan 6 kohdan mukaan ”tietosuojavastaava voi suorittaa muita tehtäviä ja velvollisuuksia. Rekisterinpitäjän tai henkilötietojen käsittelijän on varmistettava, että tällaiset tehtävät ja velvollisuudet eivät aiheuta eturistiriitoja”.

Tämän säännöksen sanamuodosta ilmenee näin ollen ensinnäkin, että yleisessä tietosuoja‑asetuksessa ei vahvisteta periaatteellista ristiriitaa yhtäältä tietosuojavastaavan tehtävien hoitamisen ja toisaalta muiden tehtävien hoitamisen välillä rekisterinpitäjän tai tämän henkilötietojen käsittelijän palveluksessa. Kyseisen asetuksen 38 artiklan 6 kohdassa nimittäin säädetään nimenomaisesti, että tietosuojavastaavan suoritettavaksi voidaan antaa muita kuin hänellä yleisen tietosuoja‑asetuksen 39 artiklan nojalla olevia tehtäviä ja velvollisuuksia.

Toiseksi rekisterinpitäjän tai tämän henkilötietojen käsittelijän on kuitenkin huolehdittava siitä, etteivät nämä muut tehtävät ja velvollisuudet aiheuta ”eturistiriitoja”. Kun otetaan huomioon näiden ilmaisujen merkitys yleiskielessä, on katsottava, että tietosuoja‑asetuksen 38 artiklan 6 kohdan tavoitteen mukaisesti tietosuojavastaavalle ei voida antaa suoritettaviksi sellaisia tehtäviä tai velvollisuuksia, jotka voisivat haitata sen tietosuojavastaavana hoitamien tehtävien harjoittamista.

42	Tästä tavoitteesta on toiseksi todettava, että kyseisellä säännöksellä pyritään edellä 25 kohdassa mainittujen muiden säännösten tavoin pääasiallisesti säilyttämään tietosuojavastaavan toiminnallinen riippumattomuus ja näin ollen takaamaan yleisen tietosuoja‑asetuksen säännösten tehokkuus.

Kolmanneksi asiayhteydestä, johon yleisen tietosuoja‑asetuksen 38 artiklan 6 kohta kuuluu, on todettava, että yleisen tietosuoja‑asetuksen 39 artiklan 1 kohdan b alakohdan mukaan tietosuojavastaajan tehtävänä on muun muassa valvoa, että kyseistä asetusta, muita unionin tai jäsenvaltion tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tiedon lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset, noudatetaan.

Tästä seuraa erityisesti, että tietosuojavastaavalle ei saa antaa tehtäviä tai velvollisuuksia, jotka johtaisivat siihen, että hän määrittää, mihin tarkoituksiin ja millä keinoin rekisterinpitäjä tai henkilötietojen käsittelijä käsittelee henkilötietoja. Unionin tai jäsenvaltion tietosuojalainsäädännön mukaisesti tietosuojavastaavan on valvottava näitä tarkoituksia ja keinoja riippumattomasti.

Yleisen tietosuoja‑asetuksen 38 artiklan 6 kohdassa tarkoitetun eturistiriidan olemassaolo on määritettävä tapauskohtaisesti kaikkien asiaan liittyvien olosuhteiden, erityisesti rekisterinpitäjän tai henkilötietojen käsittelijän organisaatiorakenteen, arvioinnin perusteella ja ottaen huomioon kaikki sovellettavat säännöstöt, mukaan luettuina viimeksi mainittujen mahdolliset toimintamenettelyt.

Edellä esitetyn perusteella neljänteen kysymykseen on vastattava, että yleisen tietosuoja‑asetuksen 38 artiklan 6 kohtaa on tulkittava siten, että kyseessä voi olla tässä säännöksessä tarkoitettu eturistiriita, kun tietosuojavastaavalle annetaan muita tehtäviä tai velvollisuuksia, jotka johtaisivat siihen, että tietosuojavastaava määrittää, mihin tarkoituksiin ja millä keinoin rekisterinpitäjä tai henkilötietojen käsittelijä käsittelee henkilötietoja, mikä kansallisen tuomioistuimen on määritettävä tapauskohtaisesti arvioimalla kaikkia asiaan liittyviä olosuhteita, erityisesti rekisterinpitäjän tai tämän henkilötietojen käsittelijän organisaatiorakennetta, ja ottaen huomioon kaikki sovellettavat säännöstöt, mukaan lukien viimeksi mainittujen mahdolliset toimintamenettelyt.

Oikeudenkäyntikulut

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (kuudes jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja‑asetus) 38 artiklan 3 kohdan toista virkettä on tulkittava siten, että se ei ole esteenä kansalliselle säännöstölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi erottaa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka erottaminen ei liity tietosuojavastaavan tehtävien hoitamiseen, kunhan tällainen säännöstö ei vaaranna yleisen tietosuoja‑asetuksen tavoitteiden saavuttamista.

Asetuksen 2016/679 38 artiklan 6 kohtaa on tulkittava siten, että kyseessä voi olla tässä säännöksessä tarkoitettu eturistiriita, kun tietosuojavastaavalle annetaan muita tehtäviä tai velvollisuuksia, jotka johtaisivat siihen, että tietosuojavastaava määrittää, mihin tarkoituksiin ja millä keinoin rekisterinpitäjä tai henkilötietojen käsittelijä käsittelee henkilötietoja, mikä kansallisen tuomioistuimen on määritettävä tapauskohtaisesti arvioimalla kaikkia asiaan liittyviä olosuhteita, erityisesti rekisterinpitäjän tai tämän henkilötietojen käsittelijän organisaatiorakennetta, ja ottaen huomioon kaikki sovellettavat säännöstöt, mukaan lukien viimeksi mainittujen mahdolliset toimintamenettelyt.

Allekirjoitukset

( *1 ) Oikeudenkäyntikieli: saksa.