1.

La domanda di pronuncia pregiudiziale del Bundesarbeitsgericht (Corte federale del lavoro, Germania) verte sull’interpretazione e sulla validità dell’articolo 38, paragrafo 3, seconda frase, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( 2 ).

2.

Tale domanda è stata presentata nell’ambito di una controversia tra LH e il suo datore di lavoro, la Leistritz AG, in ordine alla risoluzione del suo contratto di lavoro motivata da una riorganizzazione dei servizi di quest’ultima, mentre, ai sensi della legge nazionale applicabile, LH può essere licenziata solo per giusta causa senza rispettare il termine di preavviso a seguito della sua designazione quale responsabile della protezione dei dati.

3.

Nelle presenti conclusioni, esporrò le ragioni per le quali ritengo che il divieto di rimozione del responsabile della protezione dei dati, previsto all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, non derivi da un’armonizzazione di norme sostanziali del diritto del lavoro, il che lascia agli Stati membri la facoltà di rafforzare la tutela di tale responsabile nelle loro normative nazionali in vari settori, conformemente all’obiettivo perseguito da tale regolamento.

4.

I considerando 10, 13 e 97 del regolamento 2016/679 sono del seguente tenore:

(...)

(...)

5.

L’articolo 1 di tale regolamento, dal titolo «Oggetto e finalità», dispone, al paragrafo 1:

«Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati».

6.

L’articolo 37 del suddetto regolamento, intitolato «Designazione del responsabile della protezione dei dati», prevede, ai paragrafi 1 e da 4 a 6:

«1.   Il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati ogniqualvolta:

(...)

4.   Nei casi diversi da quelli di cui al paragrafo 1, il titolare del trattamento, il responsabile del trattamento o le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento possono o, se previsto dal diritto dell’Unione o degli Stati membri, devono designare un responsabile della protezione dei dati. Il responsabile della protezione dei dati può agire per dette associazioni e altri organismi rappresentanti i titolari del trattamento o i responsabili del trattamento.

5.   Il responsabile della protezione dei dati è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 39.

6.   Il responsabile della protezione dei dati può essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi».

7.

L’articolo 38 dello stesso regolamento, intitolato «Posizione del responsabile della protezione dei dati», è così formulato:

«1.   Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.

(...)

3.   Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.

4.   Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento.

5.   Il responsabile della protezione dei dati è tenuto al segreto o alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione o degli Stati membri.

6.   Il responsabile della protezione dei dati può svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi».

8.

L’articolo 39 del regolamento 2016/679 definisce i principali compiti del responsabile della protezione dei dati.

9.

L’articolo 6 del Bundesdatenschutzgesetz (legge federale sulla protezione dei dati), del 20 dicembre 1990 ( 3 ), nel testo vigente dal 25 maggio 2018 al 25 novembre 2019 ( 4 ), dal titolo «Posizione», dispone, al paragrafo 4:

«La rimozione del/della responsabile della protezione dei dati è consentita solo in applicazione analogica dell’articolo 626 del Bürgerliches Gesetzbuch [codice civile]. Non è ammessa la risoluzione del rapporto di lavoro se non in presenza di fatti tali da consentire all’organismo pubblico una risoluzione per giusta causa senza preavviso. Dopo la cessazione dell’attività in qualità di responsabile della protezione dei dati, la risoluzione del rapporto di lavoro non è consentita per il periodo di un anno, a meno che l’organismo pubblico non sia legittimato alla risoluzione per giusta causa senza preavviso».

10.

L’articolo 38 del BDSG, dal titolo «Responsabile della protezione dei dati presso organismi non pubblici», dispone:

«(1)   Ad integrazione dell’articolo 37, paragrafo 1, lettere b) e c), del regolamento (...) 2016/679, il titolare del trattamento e il responsabile del trattamento designano un/una responsabile della protezione dei dati, a condizione che essi abbiano alle loro dipendenze, di norma, almeno dieci persone[ ( 5 )] impegnate in modo permanente nel trattamento automatizzato dei dati personali. (...)

(2)   Si applica l’articolo 6, paragrafi 4, 5, seconda frase, e 6, ma il paragrafo 4 solo nel caso di obbligatorietà della designazione di un responsabile della protezione dei dati».

11.

L’articolo 134 del codice civile, nel testo pubblicato il 2 gennaio 2002 ( 6 ), dal titolo «Divieto di legge», è così formulato:

«Qualsiasi atto giuridico in contrasto con un divieto di legge è nullo, ove non sia diversamente stabilito dalla legge».

12.

L’articolo 626 di tale codice, dal titolo «Risoluzione per giusta causa senza preavviso», prevede:

«(1)   Il rapporto di lavoro può essere risolto da ciascuna delle parti del contratto per giusta causa senza osservare un periodo di preavviso, in presenza di fatti in base ai quali non sia ragionevolmente esigibile dalla parte che agisce in risoluzione la continuazione del rapporto di lavoro fino alla scadenza del periodo di preavviso oppure fino alla cessazione prevista di detto rapporto, tenendo conto di tutte le circostanze del singolo caso e valutando gli interessi di entrambe le parti del contratto.

(2)   La risoluzione può aver luogo solo entro due settimane. Il termine inizia a decorrere dal momento in cui la parte avente diritto alla risoluzione viene a conoscenza dei fatti rilevanti ai fini di detta risoluzione (...)».

13.

La Leistritz è una società di diritto privato, obbligatoriamente tenuta a designare un responsabile della protezione dei dati in forza della legge tedesca. LH ha ivi svolto le funzioni di capo servizio affari legali e di responsabile interna della protezione dei dati, rispettivamente, dal 15 gennaio 2018 e dal 1o febbraio 2018.

14.

Con lettera del 13 luglio 2018, la Leistritz ha licenziato LH con preavviso, con decorrenza 15 agosto 2018, facendo valere un provvedimento di ristrutturazione dell’impresa, nell’ambito del quale l’attività interna di consulenza legale ed il servizio di protezione dei dati erano affidati all’esterno.

15.

I giudici di merito investiti da LH della contestazione della validità del suo licenziamento hanno deciso che, conformemente al combinato disposto dell’articolo 38, paragrafo 2, e dell’articolo 6, paragrafo 4, seconda frase, del BDSG, LH, per la sua qualità di responsabile della protezione dei dati, può soltanto essere licenziata senza preavviso, per giusta causa. Orbene, il provvedimento di ristrutturazione descritto dalla Leistritz non costituisce una giusta causa di licenziamento senza preavviso.

16.

Il giudice del rinvio, investito del ricorso per cassazione («Revision») proposto dalla Leistritz, fa rilevare che, in forza della legge tedesca, il licenziamento di LH è nullo, in applicazione di tali disposizioni e dell’articolo 134 del codice civile ( 7 ). Esso rileva però che l’applicabilità di tali disposizioni dipende dalla questione se il diritto dell’Unione, ed in particolare l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, autorizzi una normativa di uno Stato membro che sottopone il licenziamento di un responsabile della protezione dei dati a condizioni più rigorose di quelle previste dal diritto dell’Unione. In caso di risposta negativa, esso sarebbe tenuto ad accogliere il ricorso per cassazione («Revision»).

17.

Di conseguenza, il Bundesarbeitsgericht (Corte federale del lavoro) ha deciso di sospendere il giudizio e di sottoporre alla Corte le seguenti questioni pregiudiziali:

18.

LH, la Leistritz, i governi tedesco e rumeno nonché il Parlamento europeo, il Consiglio dell’Unione europea e la Commissione europea hanno presentato osservazioni scritte. Tali parti, ad eccezione dei governi tedesco e rumeno, hanno presentato le loro osservazioni orali all’udienza tenutasi il 18 novembre 2021.

19.

Con la sua prima questione, il giudice del rinvio chiede alla Corte, in sostanza, se l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 debba essere interpretato nel senso che osta ad una normativa nazionale ai sensi della quale il datore di lavoro di un responsabile della protezione dei dati può licenziare quest’ultimo solo per giusta causa, anche se il licenziamento non è connesso con l’adempimento dei compiti di tale responsabile.

20.

La risposta a tale interrogativo presuppone che venga precisato, in primo luogo, il contenuto dell’espressione «rimosso (...) per l’adempimento dei propri compiti» utilizzata dal legislatore dell’Unione all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679. In secondo luogo, si dovrà determinare se gli Stati membri abbiano la facoltà di estendere le garanzie di cui gode il responsabile della protezione dei dati in applicazione di tale disposizione.

21.

L’articolo 38 del regolamento 2016/679 figura al capo IV di tale regolamento, relativo al «[t]itolare del trattamento e responsabile del trattamento», in particolare in seno alla sezione 4, dal titolo «Responsabile della protezione dei dati». Tale sezione contiene tre articoli relativi, rispettivamente, alla designazione del responsabile della protezione dei dati ( 8 ), alla sua posizione ( 9 ) e ai suoi compiti, che consistono, essenzialmente, nel fornire consulenza personale sul trattamento dei dati e nel sorvegliare l’osservanza delle norme sulla protezione dei dati ( 10 ).

22.

Per l’interpretazione dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, si deve tener conto, secondo la giurisprudenza costante della Corte, non soltanto del tenore letterale di tale disposizione, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte ( 11 ).

23.

Per quanto riguarda la formulazione dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, rilevo che essa esprime un obbligo in termini negativi. Infatti, secondo il tenore di tale disposizione, «[i]l responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti» ( 12 ).

24.

Pertanto, tale disposizione definisce il perimetro della protezione del responsabile della protezione dei dati. Quest’ultimo è tutelato, da un lato, contro qualsiasi decisione che ponga fine ai propri compiti o gli faccia subire svantaggi qualora, dall’altro, tale decisione sia connessa con l’adempimento dei propri compiti.

25.

Per quanto riguarda la distinzione tra il provvedimento di rimozione del responsabile della protezione dei dati e quello che lo penalizza, rilevo, in primo luogo, che nessuna disposizione del regolamento 2016/679 definisce esplicitamente o implicitamente tali provvedimenti ( 13 ).

26.

Al termine dell’esame comparato di altre versioni linguistiche, può ritenersi che all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 siano considerate misure di due tipi, e cioè quelle che pongono fine ai compiti del responsabile della protezione dei dati nonché quelle che costituiscono sanzioni o sfavoriscono tale responsabile, qualunque sia il loro contesto. Pertanto, tali definizioni possono ricomprendere i licenziamenti con i quali il datore di lavoro pone fine ad un contratto di lavoro ( 14 ).

27.

I risultati delle ricerche vertenti sulla genesi legislativa dell’articolo 38 del regolamento 2016/679 a cui ho potuto aver accesso non consentono, in mancanza di elementi dettagliati, di essere edotti sulle precise intenzioni del legislatore dell’Unione quanto alla portata del termine «rimosso». Si può soltanto constatare che l’aggiunta redazionale relativa alla rimozione è intervenuta tardivamente nell’iter legislativo ( 15 ) nel corso del quale, nel contempo, è stato soppresso il seguente inciso, che figurava dopo «il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati»: «possa agire in maniera indipendente nell’adempimento dei propri compiti» ( 16 ). Se ne potrebbe dedurre che tale legislatore abbia inteso concretizzare l’obbligo di non rimuovere il responsabile della protezione dei dati per l’adempimento dei propri compiti.

28.

Rilevo altresì che il legislatore dell’Unione ha scelto di riprodurre tale e quale la formulazione dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 all’articolo 44, paragrafo 3, seconda frase, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( 17 ). Tuttavia, non può essere ricavata alcuna precisazione dai documenti relativi all’elaborazione del regolamento 2018/1725, il che è giustificato, a mio modo di vedere, dall’aggiunta, all’articolo 44, paragrafo 8, di un’altra garanzia essenziale offerta al responsabile della protezione dei dati, e cioè che esso «può essere destituito dalle sue funzioni dall’istituzione o dall’organo dell’Unione che lo ha designato, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni, solo con il consenso del Garante europeo della protezione dei dati».

29.

In secondo luogo, rilevo che all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 non viene operata alcuna distinzione a seconda che il responsabile della protezione dei dati sia o meno un dipendente del titolare del trattamento o del responsabile del trattamento ( 18 ). Infatti, tale regolamento non contiene alcuna disposizione relativa all’interdipendenza tra le decisioni che fossero prese dal datore di lavoro nell’ambito del rapporto di lavoro e quelle relative ai compiti di tale delegato. Il solo limite fissato verte sul motivo per cui non può essere rimosso il responsabile della protezione dei dati, e cioè qualsiasi motivo relativo all’adempimento dei suoi compiti.

30.

Per quanto riguarda l’obiettivo perseguito dal legislatore dell’Unione, esso giustifica la redazione in termini generali dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 nonché la scelta di tale limite.

31.

Infatti, nel progetto di motivazione del Consiglio viene precisato che la designazione di un responsabile della protezione dei dati mira a migliorare l’osservanza del regolamento 2016/679 ( 19 ). Per questo motivo l’articolo 38, paragrafo 3, seconda frase, di tale regolamento fissa obblighi di natura tale da garantire l’indipendenza di tale delegato. Così, nello stesso articolo si prevede che il responsabile della protezione dei dati non debba ricevere alcuna istruzione per quanto riguarda l’esecuzione dei propri compiti e che egli debba riferire direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento ( 20 ). Egli è altresì soggetto al segreto professionale o ad un obbligo di riservatezza ( 21 ).

32.

Viene quindi posto l’accento sul carattere rigoroso della disciplina dei compiti del responsabile della protezione dei dati che è particolarmente giustificato quando tale responsabile viene designato da un titolare del trattamento che è suo datore di lavoro. Pertanto, attraverso il divieto sancito all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, vengono garantite le prerogative di cui il detto responsabile gode per l’adempimento dei propri compiti, che, in taluni casi, possono essere difficilmente conciliabili con quelle fissate dal datore di lavoro nell’ambito del rapporto di lavoro.

33.

L’interpretazione secondo la quale tale disposizione ha il solo scopo di organizzare l’esercizio in maniera indipendente dei compiti del responsabile della protezione dei dati è corroborata dal contesto nel quale essa è stata adottata.

34.

A tale riguardo, si deve sottolineare che il regolamento 2016/679, ai sensi del suo articolo 1, ha lo scopo di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché quelle relative alla libera circolazione di tali dati. Pertanto, esso è stato adottato sul fondamento dell’articolo 16, paragrafo 2, TFUE ( 22 ), il che porta a considerare, come ho già esposto in occasione di conclusioni precedenti, che, benché la protezione dei dati personali sia per natura trasversale, l’armonizzazione operata da tale regolamento è limitata agli aspetti specificamente trattati dal detto regolamento in tale materia ( 23 ).

35.

Per tutte queste ragioni, è fuor di dubbio, a mio parere, che la tutela specifica del responsabile della protezione dei dati, prevista all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, sia propria dello scopo di tale regolamento, in quanto essa viene a rafforzare l’autonomia di tale responsabile. Essa non rientra quindi nel più ampio ambito della tutela dei lavoratori ( 24 ).

36.

Di conseguenza, si pone nuovamente la questione di stabilire se, al di fuori degli aspetti specificamente trattati dal regolamento 2016/679, gli Stati membri restino liberi di legiferare, a condizione che essi non pregiudichino il contenuto e gli obiettivi di tale regolamento ( 25 ).

37.

A mio parere, l’obiettivo del regolamento 2016/679 sancito al suo considerando 13, in applicazione del quale il legislatore dell’Unione garantisce l’indipendenza del responsabile della protezione dei dati in termini generali all’articolo 38, paragrafo 3, seconda frase, di tale regolamento ( 26 ), giustifica il fatto che deve poter essere adottata da uno Stato membro ogni altra misura diretta a rafforzare l’autonomia di tale responsabile nell’adempimento dei suoi compiti.

38.

Questa interpretazione non è in contraddizione con gli effetti di un regolamento, quali definiti all’articolo 288, secondo comma, TFUE, né con il conseguente obbligo per gli Stati membri di non derogare ad un regolamento vincolante in tutti i suoi elementi e direttamente applicabile o di integrarlo, a meno che non vi siano disposizioni di tale regolamento che riconoscono agli Stati membri un margine discrezionale che debba o possa, a seconda dei casi, essere utilizzato da questi ultimi alle condizioni e nei limiti previsti da tali disposizioni ( 27 ).

39.

Di conseguenza, ribadisco il mio parere secondo cui l’ampiezza dell’armonizzazione operata dal regolamento 2016/679 varia a seconda delle disposizioni considerate. La determinazione della portata normativa di tale regolamento richiede quindi un esame caso per caso ( 28 ).

40.

A questo proposito, rilevo che l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 riguarda la rimozione del responsabile della protezione dei dati in quanto connessa unicamente all’adempimento dei suoi compiti, che si presume corretto ( 29 ), sotto forma di divieto, senza introdurre un grado di gravità del motivo fatto valere o considerare i vari aspetti del rapporto di subordinazione con il suo datore di lavoro che possono aver effetto sulla sua designazione. Pertanto, non sono stati considerati, ad esempio, la durata del contratto di lavoro, né il motivo personale o economico della risoluzione di quest’ultimo, eventualmente negoziabile, né ancora la sospensione del rapporto di lavoro per malattia, formazione, congedi annuali o di lunga durata.

41.

Inoltre, l’intenzione del legislatore dell’Unione di lasciare agli Stati membri il compito di integrare le disposizioni poste a tutela dell’indipendenza del responsabile della protezione dei dati sulla base di un quadro legislativo minimo relativo all’esecuzione dei compiti di quest’ultimo, definito secondo gli obiettivi del regolamento 2016/679, si manifesta altresì con la mancanza di qualsiasi prescrizione relativa alla durata del mandato di tale responsabile – contrariamente a quanto prevede l’articolo 44, paragrafo 8, prima frase, del regolamento 2018/1725 – ( 30 ) o relativa al caso, come nella fattispecie, di ristrutturazione di un’impresa avente l’effetto di affidare all’esterno le funzioni di responsabile della protezione dei dati per motivi non inerenti all’adempimento dei compiti di quest’ultimo.

42.

Di conseguenza, gli Stati membri possono decidere di rafforzare l’indipendenza del responsabile della protezione dei dati, in quanto esso partecipa all’attuazione degli obiettivi del regolamento 2016/679, più in particolare in materia di licenziamento, qualora non esista alcuna disposizione di diritto dell’Unione che possa servire da fondamento ad una tutela specifica e concreta di tale figura contro il licenziamento per motivi indipendenti dall’adempimento dei suoi compiti, mentre la risoluzione del rapporto di lavoro ha necessariamente la conseguenza di porre fine a questi ultimi.

43.

A tal riguardo, si deve ricordare che, in materia di tutela dei lavoratori, in caso di risoluzione del contratto di lavoro, l’articolo 153, paragrafo 1, lettera d), TFUE, precisa che l’Unione sostiene e completa l’azione degli Stati membri, e che, più in generale, nel settore della politica sociale, l’Unione e gli Stati membri dispongono, in forza dell’articolo 4, paragrafo 2, lettera b), TFUE, per gli aspetti definiti nel Trattato FUE, di una competenza concorrente, ai sensi dell’articolo 2, paragrafo 2, TFUE.

44.

Di conseguenza, ciascuno Stato membro è libero di adottare disposizioni particolari in materia di licenziamento del responsabile della protezione dei dati, purché tali disposizioni siano compatibili con il regime di tutela di quest’ultimo previsto dal regolamento 2016/679 ( 31 ).

45.

Come risulta dall’esame succinto della normativa degli Stati membri che ho potuto consultare ( 32 ), la maggior parte di loro non ha adottato disposizioni particolari relative al licenziamento, limitandosi al divieto sancito all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679, direttamente applicabile ( 33 ).

46.

Tuttavia, altri Stati membri hanno operato la scelta di integrare tale articolo ( 34 ).

47.

A questo proposito, rilevo che il gruppo di lavoro «Articolo 29» ha considerato che, «[n]ell’ambito di una normale gestione, e come avviene per ogni altro dipendente o subcontraente conformemente al diritto contrattuale o al diritto del lavoro e al diritto penale applicabili a livello nazionale, e secondo le condizioni ivi fissate, un [responsabile della protezione dei dati] potrà sempre essere licenziato legittimamente per cause diverse dall’adempimento dei propri compiti di [responsabile della protezione dei dati] (ad esempio, in caso di furto, di molestie fisiche, morali o sessuali o di altri gravi illeciti analoghi)» ( 35 ).

48.

Indipendentemente dalla scelta degli Stati membri, l’organo amministrativo o giurisdizionale in ciascuno di essi incaricato di controllare la legittimità della causa di rimozione del responsabile della protezione dei dati contribuisce anch’esso, a mio modo di vedere, a garantire l’indipendenza di tale responsabile.

49.

Infatti, essendo altamente probabile che il nesso con il soddisfacente adempimento dei compiti del responsabile della protezione dei dati non risulti espressamente dalla decisione della sua rimozione ( 36 ), è concepibile una tutela generale fondata sulla sola qualità di responsabile della protezione dei dati. Nella fattispecie, risulta dalle spiegazioni del giudice del rinvio che è la nozione di «giusta causa», quale interpretata nel diritto tedesco, che porta a ritenere, per scrupolo di tutela aggiuntiva, che non possa essere posto fine ai compiti del responsabile della protezione dei dati in caso di ristrutturazione ( 37 ). Nello stesso senso, si potrebbe del resto considerare che, in caso di difficoltà economiche dell’impresa che ha l’obbligo di designare un responsabile della protezione dei dati e ha scelto a tal fine uno dei suoi dipendenti, i compiti di quest’ultimo, in ragione dell’obiettivo del regolamento 2016/679 e del contributo di tale responsabile al conseguimento di quest’ultimo, dovrebbero continuare ad essere svolti finché perdura l’attività del datore di lavoro.

50.

Tuttavia, il divieto sancito all’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 trova necessariamente dei limiti in caso di disfunzioni oggettive nell’adempimento dei compiti del responsabile della protezione dei dati in relazione ai suoi obblighi. Tali limiti devono essere fissati in conformità con l’obiettivo perseguito da tale regolamento ( 38 ).

51.

Pertanto, un’interpretazione altrettanto conforme all’obiettivo del regolamento 2016/679 deve condurre, a mio parere, ad ammettere che un responsabile della protezione dei dati possa essere rimosso qualora non risponda più ai criteri qualitativi necessari all’adempimento dei propri compiti, quali enunciati all’articolo 37, paragrafo 5, di tale regolamento, o non rispetti gli obblighi stabiliti all’articolo 38, paragrafo 3, prima e terza frase, nonché paragrafi 5 e 6, del detto regolamento ( 39 ) ovvero ancora qualora il suo livello di competenza si riveli insufficiente ( 40 ).

52.

Di conseguenza, sono del parere che l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 debba essere interpretato nel senso che non osta ad una normativa nazionale che preveda che il datore di lavoro di un responsabile della protezione dei dati può licenziare quest’ultimo solo per giusta causa, anche se il licenziamento non è connesso con l’adempimento dei compiti di tale responsabile.

53.

Ove tuttavia la Corte non condividesse tale parere e decidesse di rispondere in senso affermativo alla prima questione del giudice del rinvio, dovrebbe darsi risposta alle altre due questioni pregiudiziali.

54.

Con la sua seconda questione, il giudice del rinvio intende stabilire se l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 osti ad una normativa nazionale che dichiara illegittimo il licenziamento del responsabile della protezione dei dati da parte del suo datore di lavoro in assenza di giusta causa, anche se tale licenziamento non è connesso con l’adempimento dei compiti dell’interessato, qualora la designazione del responsabile della protezione dei dati sia obbligatoria non in forza dell’articolo 37, paragrafo 1, di tale regolamento, ma unicamente in forza del diritto nazionale, come previsto dall’articolo 37, paragrafo 4, del detto regolamento.

55.

Osservo che né l’articolo 38, paragrafo 3, del regolamento 2016/679 né le altre disposizioni della sezione 4 di tale regolamento, relativa al responsabile della protezione dei dati, operano alcuna distinzione a seconda che la designazione di tale responsabile sia obbligatoria o facoltativa.

56.

Di conseguenza, sono del parere di rispondere al giudice del rinvio nel senso che l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 si applica senza che occorra distinguere a seconda che il responsabile della protezione dei dati sia obbligatoriamente designato in forza del diritto dell’Unione o in forza del diritto nazionale.

57.

Con la sua terza questione, il giudice del rinvio si pone il problema della validità dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 e, in particolare, la questione se tale disposizione si basi su un fondamento giuridico sufficiente, in particolare laddove riguardi responsabili della protezione dei dati alle dipendenze del titolare del trattamento.

58.

Propongo alla Corte di considerare che l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 si basa su un fondamento giuridico sufficiente, in quanto esso ha unicamente lo scopo di tutelare il responsabile della protezione dei dati contro qualsiasi ostacolo nell’adempimento dei propri compiti e che questa garanzia, a prescindere dall’esistenza di un rapporto di lavoro, contribuisce alla realizzazione effettiva degli obiettivi di tale regolamento.

59.

Infatti, da un lato, come ho spiegato nell’ambito dell’analisi della prima questione pregiudiziale ( 41 ), l’articolo 16 TFUE costituisce il fondamento giuridico su cui si basa il detto regolamento. Inoltre, la Corte ha dichiarato che, fatto salvo l’articolo 39 TUE, tale disposizione costituisce una base giuridica adeguata quando la protezione dei dati personali è una delle finalità o delle componenti essenziali delle norme adottate dal legislatore dell’Unione ( 42 ).

60.

Dall’altro lato, una di tali condizioni è, a mio modo di vedere, pienamente soddisfatta per quanto riguarda il ruolo del responsabile della protezione dei dati e della sua disciplina, quali definiti dal regolamento 2016/679. La garanzia dell’indipendenza funzionale di tale responsabile, diretta a soddisfare l’esigenza di assicurare, ad un livello elevato, il rispetto dei diritti fondamentali delle persone interessate dal trattamento dei dati personali ( 43 ), si è tradotta, all’articolo 38, paragrafo 3, seconda frase, di tale regolamento, nell’introduzione di un divieto di sua rimozione per motivi inerenti ai suoi compiti. Dato che tale disposizione non impone alcuna armonizzazione nel diritto del lavoro, il legislatore dell’Unione non ha ecceduto i poteri normativi ad esso conferiti all’articolo 16, paragrafo 2, TFUE.

61.

Per quanto riguarda il rispetto dei principi di sussidiarietà e di proporzionalità, pure sul quale il giudice del rinvio si pone interrogativi, rilevo, in primo luogo, che l’intensificazione dei trattamenti transfrontalieri dei dati personali giustifica il fatto che la protezione di questi ultimi alla luce dei diritti fondamentali sia attuata a livello di Unione ( 44 ), garantendo in particolare le prerogative del responsabile della protezione dei dati considerato come un «protagonista» di tale protezione ( 45 ). In secondo luogo, l’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679 non mi sembra eccedere quanto necessario per garantire l’indipendenza funzionale di tale responsabile. Vero è che la garanzia di non essere rimosso, prevista da tale disposizione, ha necessariamente un’incidenza sul rapporto di lavoro. Tuttavia, tale incidenza è unicamente diretta a salvaguardare l’effetto utile della funzione del responsabile della protezione dei dati.

62.

Di conseguenza, sono del parere che debba rispondersi al giudice del rinvio nel senso che dall’esame della terza questione pregiudiziale non è emerso alcun elemento di natura tale da inficiare la validità dell’articolo 38, paragrafo 3, seconda frase, del regolamento 2016/679.

63.

Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Bundesarbeitsgericht (Corte federale del lavoro, Germania) nei seguenti termini:

In via principale:

In via subordinata, nel caso in cui la Corte risponda alla prima questione pregiudiziale in senso affermativo: