1.

Cererea de decizie preliminară formulată de Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) privește interpretarea și validitatea articolului 38 alineatul (3) a doua teză din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) ( 2 ).

2.

Această cerere a fost formulată în cadrul unui litigiu între LH, pe de o parte, și angajatorul său, Leistritz AG, pe de altă parte, în legătură cu încetarea contractului său de muncă motivată de o reorganizare a serviciilor acesteia, în condițiile în care, potrivit legii germane aplicabile, LH poate fi concediată numai pentru motive grave, fără respectarea termenului de preaviz ca urmare a desemnării sale ca responsabilă cu protecția datelor.

3.

În prezentele concluzii, vom expune motivele pentru care considerăm că interzicerea demiterii responsabilului cu protecția datelor, prevăzută la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679, nu rezultă dintr‑o armonizare a normelor materiale de drept al muncii, ceea ce lasă statelor membre posibilitatea de a consolida protecția acestui responsabil în reglementările lor naționale în diferite domenii, în conformitate cu obiectivul urmărit de regulamentul menționat.

4.

Considerentele (10), (13) și (97) ale Regulamentului 2016/679 enunță:

[…]

[…]

5.

Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (1):

„Prezentul regulament stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și normele referitoare la libera circulație a datelor cu caracter personal.”

6.

Articolul 37 din regulamentul menționat, intitulat „Desemnarea responsabilului cu protecția datelor”, prevede la alineatele (1) și (4)-(6):

„(1)   Operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor ori de câte ori:

[…]

(4)   În alte cazuri decât cele menționate la alineatul (1), operatorul sau persoana împuternicită de operator ori asociațiile și alte organisme care reprezintă categorii de operatori sau de persoane împuternicite de operatori pot desemna sau, acolo unde dreptul Uniunii sau dreptul intern solicită acest lucru, desemnează un responsabil cu protecția datelor. Responsabilul cu protecția datelor poate să acționeze în favoarea unor astfel de asociații și alte organisme care reprezintă operatori sau persoane împuternicite de operatori.

(5)   Responsabilul cu protecția datelor este desemnat pe baza calităților profesionale și, în special, a cunoștințelor de specialitate în dreptul și practicile din domeniul protecției datelor, precum și pe baza capacității de a îndeplini sarcinile prevăzute la articolul 39.

(6)   Responsabilul cu protecția datelor poate fi un membru al personalului operatorului sau persoanei împuternicite de operator sau poate să își îndeplinească sarcinile în baza unui contract de servicii.”

7.

Articolul 38 din același regulament, intitulat „Funcția responsabilului cu protecția datelor”, prevede:

„(1)   Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor este implicat în mod corespunzător și în timp util în toate aspectele legate de protecția datelor cu caracter personal.

[…]

(3)   Operatorul și persoana împuternicită de operator se asigură că responsabilul cu protecția datelor nu primește niciun fel de instrucțiuni în ceea ce privește îndeplinirea acestor sarcini. Acesta nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale. Responsabilul cu protecția datelor răspunde direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator.

(4)   Persoanele vizate pot contacta responsabilul cu protecția datelor cu privire la toate chestiunile legate de prelucrarea datelor lor și la exercitarea drepturilor lor în temeiul prezentului regulament.

(5)   Responsabilul cu protecția datelor are obligația de a respecta secretul sau confidențialitatea în ceea ce privește îndeplinirea sarcinilor sale, în conformitate cu dreptul Uniunii sau cu dreptul intern.

(6)   Responsabilul cu protecția datelor poate îndeplini și alte sarcini și atribuții. Operatorul sau persoana împuternicită de operator se asigură că niciuna dintre aceste sarcini și atribuții nu generează un conflict de interese.”

8.

Articolul 39 din Regulamentul 2016/679 prevede principalele sarcini ale responsabilului cu protecția datelor.

9.

Articolul 6 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 20 decembrie 1990 ( 3 ), în versiunea sa în vigoare de la 25 mai 2018 la 25 noiembrie 2019 ( 4 ), intitulat „Postul ocupat”, prevede la alineatul (4):

„Revocarea responsabilului cu protecția datelor este autorizată numai cu aplicarea prin analogie a articolului 626 din Bürgerliches Gesetzbuch (Codul civil). Rezilierea raportului de muncă este interzisă, cu excepția cazului în care există elemente de fapt care îndreptățesc autoritatea publică să procedeze la concediere pentru un motiv grav, fără respectarea unui termen de preaviz. După sfârșitul activității în calitate de responsabil cu protecția datelor, rezilierea raportului de muncă este interzisă pentru o durată de un an, cu excepția cazului în care autoritatea publică este îndreptățită să procedeze la concedierea pentru un motiv grav, fără respectarea unui termen de preaviz.”

10.

Articolul 38 din BDSG, intitulat „Responsabil cu protecția datelor al unor entități private”, prevede:

„(1)   În completarea articolului 37 alineatul (1) literele (b) și (c) din Regulamentul […] 2016/679, operatorul și persoana împuternicită de operator desemnează un responsabil cu protecția datelor, dacă aceștia au în permanență, în mod obișnuit, cel puțin 10 angajați[ ( 5 )] pentru prelucrarea automată a datelor cu caracter personal. […]

(2)   Dispozițiile articolului 6 alineatul (4), alineatul (5) a doua teză și alineatul (6) nu se aplică decât atunci când desemnarea unui responsabil cu protecția datelor este obligatorie.”

11.

Articolul 134 din Codul civil, în versiunea publicată la 2 ianuarie 2002 ( 6 ), intitulat „Interdicție legală”, are următorul cuprins:

„Un act juridic care încalcă o interdicție stabilită de lege este nul atunci când legea nu prevede altfel.”

12.

Articolul 626 din acest cod, intitulat „Reziliere pentru un motiv grav fără preaviz”, prevede:

„(1)   Contractul de muncă poate fi reziliat de orice parte contractantă pentru un motiv grav, fără a respecta un termen de preaviz, dacă există elemente de fapt pe baza cărora, ținând seama de toate împrejurările speței și prin evaluarea comparativă a intereselor celor două părți contractante, nu se poate impune ca partea care reziliază să continue raportul de muncă până la expirarea termenului de preaviz sau până la încetarea convenită a raportului de muncă.

(2)   Rezilierea poate avea loc numai în termen de două săptămâni. Termenul începe să curgă din momentul în care partea autorizată să rezilieze contractul a luat cunoștință de faptele pertinente pentru reziliere […]”

13.

Leistritz este o întreprindere de drept privat, obligată să desemneze un responsabil cu protecția datelor în temeiul dreptului german. LH a exercitat la această întreprindere funcțiile de șefă a serviciului juridic și de responsabilă internă cu protecția datelor începând cu 15 ianuarie 2018 și, respectiv, cu 1 februarie 2018.

14.

Prin scrisoarea din 13 iulie 2018, Leistritz a concediat‑o pe LH cu preaviz începând cu 15 august 2018, prevalându‑se de o măsură de restructurare a întreprinderii, în cadrul căreia activitatea internă de consiliere juridică și serviciul de protecție a datelor au fost externalizate.

15.

Instanțele de fond sesizate de LH cu contestarea validității concedierii sale au hotărât că, în conformitate cu articolul 38 alineatul (2) coroborat cu articolul 6 alineatul (4) a doua teză din BDSG, în calitate de responsabilă cu protecția datelor, LH poate fi concediată fără preaviz numai pentru un motiv grav. Or, măsura de restructurare descrisă de Leistritz nu constituie un motiv grav pentru o concediere fără preaviz.

16.

Instanța de trimitere, sesizată cu recursul formulat de Leistritz, arată că, potrivit dreptului german, concedierea lui LH este nulă, în temeiul acestor dispoziții și al articolului 134 din Codul civil ( 7 ). Ea arată însă că aplicabilitatea unor asemenea dispoziții depinde de aspectul dacă dreptul Uniunii, în special articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679, autorizează o reglementare a unui stat membru care supune rezilierea raportului de muncă al unui responsabil cu protecția datelor unor condiții mai stricte decât cele prevăzute de dreptul Uniunii. Dacă acest lucru nu ar fi valabil, i‑ar reveni obligația de a admite recursul.

17.

În aceste condiții, Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

18.

LH, Leistritz, guvernele german și român, precum și Parlamentul European, Consiliul Uniunii Europene și Comisia Europeană au depus observații scrise. Aceste părți, cu excepția guvernelor german și român, au prezentat observații orale în ședința care a avut loc la 18 noiembrie 2021.

19.

Prin intermediul primei întrebări, instanța de trimitere solicită în esență Curții să stabilească dacă articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 trebuie interpretat în sensul că se opune unei reglementări naționale care prevede că angajatorul unui responsabil cu protecția datelor îl poate concedia numai pentru un motiv grav, chiar dacă concedierea nu are legătură cu îndeplinirea sarcinilor de către acest responsabil.

20.

Răspunsul la această întrebare presupune să se precizeze, în primul rând, ceea ce acoperă expresia „demis […] pentru îndeplinirea sarcinilor sale”, utilizată de legiuitorul Uniunii la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679. În al doilea rând, va trebui să se stabilească dacă statele membre au posibilitatea de a extinde garanțiile de care beneficiază responsabilul cu protecția datelor în temeiul acestei dispoziții.

21.

Articolul 38 din Regulamentul 2016/679 figurează în capitolul IV din acest regulament, referitor la „[o]peratorul și persoana împuternicită de operator”, în special în cadrul secțiunii 4, intitulată „Responsabilul cu protecția datelor”. Această secțiune conține trei articole referitoare la desemnarea responsabilului cu protecția datelor ( 8 ), funcția sa ( 9 ) și, respectiv, sarcinile sale, care constau în esență în oferirea de consiliere personală cu privire la prelucrarea datelor și monitorizarea respectării normelor de protecție a datelor ( 10 ).

22.

Pentru interpretarea articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679, este necesar, potrivit jurisprudenței constante a Curții, să se țină seama nu numai de formularea acestei dispoziții, ci și de contextul ei și de obiectivele urmărite de reglementarea din care face parte dispoziția menționată ( 11 ).

23.

În ceea ce privește modul de redactare a articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679, observăm că acesta exprimă o obligație în termeni negativi. Într‑adevăr, articolul menționat prevede că „[responsabilul cu protecția datelor] nu este demis sau sancționat de către operator sau de persoana împuternicită de operator pentru îndeplinirea sarcinilor sale” ( 12 ).

24.

Astfel, această dispoziție stabilește perimetrul protecției responsabilului cu protecția datelor. El este protejat, pe de o parte, împotriva oricărei decizii care ar pune capăt atribuțiilor sale sau i‑ar crea un dezavantaj atunci când, pe de altă parte, o asemenea decizie ar avea legătură cu îndeplinirea sarcinilor sale.

25.

În ceea ce privește distincția dintre măsura de demitere a responsabilului cu protecția datelor și cea care îl sancționează, constatăm, în primul rând, că nicio dispoziție din Regulamentul 2016/679 nu definește în mod expres sau implicit aceste măsuri ( 13 ).

26.

În urma examinării comparative a altor versiuni lingvistice, se poate considera că două tipuri de măsuri sunt prevăzute la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679, și anume cele care pun capăt atribuțiilor responsabilului cu protecția datelor, precum și cele care constituie sancțiuni sau defavorizează acest responsabil, indiferent de cadrul lor. Prin urmare, definițiile respective pot acoperi concedierile prin care angajatorul pune capăt unui contract de muncă ( 14 ).

27.

Rezultatele cercetărilor privind istoricul legislativ al articolului 38 din Regulamentul 2016/679 la care am putut avea acces nu permit, în lipsa unor elemente detaliate, să fie clarificate intențiile precise ale legiuitorului Uniunii în ceea ce privește domeniul de aplicare al termenului „demis”. Se poate constata numai că adăugarea redacțională referitoare la demitere a intervenit cu întârziere în procesul legislativ ( 15 ) în cursul căruia, în mod concomitent, a fost eliminată partea tezei următoare, care figura după „Operatorul sau persoana împuternicită de operator se asigură că responsabilul cu protecția datelor”: „poate să acționeze în mod independent în ceea ce privește îndeplinirea sarcinilor sale” ( 16 ). S‑ar putea deduce de aici că acest legiuitor a urmărit să concretizeze obligația de a nu demite responsabilul cu protecția datelor pentru îndeplinirea misiunilor sale.

28.

Observăm de asemenea că legiuitorul Uniunii a ales să reproducă în același mod textul articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679 la articolul 44 alineatul (3) a doua teză din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE ( 17 ). Totuși, nu se poate deduce nicio precizare din documentele referitoare la elaborarea Regulamentului 2018/1725, fapt justificat, în opinia noastră, de adăugarea, la articolul 44 alineatul (8), a unei alte garanții esențiale oferite responsabilului cu protecția datelor, și anume că „nu poate fi eliberat din funcția de responsabil cu protecția datelor de către instituția sau organul Uniunii care l‑a desemnat, dacă nu mai îndeplinește condițiile necesare pentru exercitarea atribuțiilor sale, decât cu acordul Autorității Europene pentru Protecția Datelor”.

29.

În al doilea rând, subliniem că nu se face nicio distincție la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 după cum responsabilul cu protecția datelor este sau nu un membru al personalului operatorului sau al persoanei împuternicite de operator ( 18 ). De fapt, acest regulament nu conține nicio dispoziție referitoare la interdependența dintre deciziile care ar fi luate de angajator în cadrul raportului de muncă și cele referitoare la atribuțiile acestui responsabil. Singura limită stabilită privește motivul pentru care nu se poate pune capăt atribuțiilor responsabilului cu protecția datelor, și anume orice motiv întemeiat pe îndeplinirea misiunilor sale.

30.

În ceea ce privește obiectivul urmărit de legiuitorul Uniunii, acesta justifică formularea în termeni generali a articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679, precum și alegerea acestei limite.

31.

Astfel, se precizează în proiectul de expunere de motive Consiliului că desemnarea unui responsabil cu protecția datelor urmărește să îmbunătățească respectarea Regulamentului 2016/679 ( 19 ). Acesta este motivul pentru care articolul 38 alineatul (3) a doua teză din regulamentul menționat stabilește obligații de natură să garanteze independența acestui responsabil. Astfel, în același articol, se prevede că responsabilul cu protecția datelor nu trebuie să primească niciun fel de instrucțiuni în ceea ce privește îndeplinirea sarcinilor sale și trebuie să răspundă direct în fața celui mai înalt nivel al conducerii operatorului sau persoanei împuternicite de operator ( 20 ). Acesta are de asemenea obligația de a respecta secretul sau confidențialitatea ( 21 ).

32.

Accentul este, așadar, pus pe rigoarea încadrării atribuțiilor responsabilului cu protecția datelor, care este justificată în mod special atunci când acest responsabil este desemnat de un operator care este angajatorul său. Prin urmare, prin interdicția prevăzută la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 sunt garantate prerogativele de care beneficiază respectivul responsabil pentru îndeplinirea sarcinilor sale, care pot, în anumite cazuri, să fie dificil de conciliat cu cele care au fost stabilite de angajator în cadrul raportului de muncă.

33.

Analiza potrivit căreia această dispoziție are ca unic obiect organizarea îndeplinirii în mod independent a atribuțiilor responsabilului cu protecția datelor se coroborează cu contextul în care a fost adoptată.

34.

În această privință, trebuie subliniat că Regulamentul 2016/679 are ca obiect, potrivit articolului 1, stabilirea normelor referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, precum și a normelor referitoare la libera circulație a datelor cu caracter personal. Astfel, acesta a fost adoptat în temeiul articolului 16 alineatul (2) TFUE ( 22 ), ceea ce conduce la a se considera, după cum am arătat deja în concluzii anterioare, că, deși protecția datelor cu caracter personal este, prin natura sa, transversală, armonizarea efectuată de acest regulament se limitează la aspectele acoperite în mod specific de regulamentul menționat în acest domeniu ( 23 ).

35.

Pentru toate aceste motive, nu există nicio îndoială, în opinia noastră, că protecția specifică a responsabilului cu protecția datelor, prevăzută la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679, este specifică obiectului acestui regulament, întrucât vine să consolideze autonomia responsabilului respectiv. Aceasta nu se înscrie, așadar, în domeniul de aplicare mai larg al protecției lucrătorilor ( 24 ).

36.

În consecință, se pune din nou problema dacă, în afara aspectelor acoperite în mod specific de Regulamentul 2016/679, statele membre rămân libere să legifereze, în măsura în care nu aduc atingere conținutului și obiectivelor acestui regulament ( 25 ).

37.

În opinia noastră, obiectivul Regulamentului 2016/679 enunțat în considerentul (13) al acestuia, în temeiul căruia legiuitorul Uniunii garantează independența responsabilului cu protecția datelor în termeni generali la articolul 38 alineatul (3) a doua teză din regulamentul menționat ( 26 ), justifică faptul că orice altă măsură care urmărește consolidarea autonomiei acestui responsabil în îndeplinirea sarcinilor sale trebuie să poată fi luată de un stat membru.

38.

Această analiză nu este în contradicție cu efectele unui regulament, astfel cum sunt definite la articolul 288 al doilea paragraf TFUE, nici cu obligația subsecventă a statelor membre de a nu deroga de la un regulament obligatoriu în toate elementele sale și direct aplicabil sau de a‑l completa, cu excepția cazului în care dispoziții ale acestui regulament recunosc statelor membre o marjă de manevră care trebuie sau poate, după caz, să fie utilizată de acestea din urmă în condițiile și limitele prevăzute de dispozițiile menționate ( 27 ).

39.

În consecință, reiterăm opinia noastră potrivit căreia întinderea armonizării realizate prin Regulamentul 2016/679 variază în funcție de dispozițiile avute în vedere. Prin urmare, stabilirea domeniului de aplicare normativ al regulamentului menționat impune o examinare de la caz la caz ( 28 ).

40.

În această privință, observăm că articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 se referă la demiterea responsabilului cu protecția datelor în măsura în care are legătură numai cu îndeplinirea sarcinilor sale, care se prezumă corect ( 29 ), sub formă de interdicție, fără a introduce un nivel de gravitate a motivului invocat sau fără a avea în vedere diversele aspecte ale legăturii de subordonare cu angajatorul său susceptibile să aibă un efect asupra desemnării sale. Astfel, nu au fost avute în vedere, de exemplu, durata contractului de muncă sau motivul personal ori economic al încetării acestuia, care poate fi eventual negociată, sau chiar suspendarea raportului de muncă din motive de boală, de formare, de concediu anual sau de lungă durată.

41.

Pe de altă parte, intenția legiuitorului Uniunii de a lăsa statelor membre sarcina de a completa dispozițiile de protecție a independenței responsabilului cu protecția datelor pe baza unui cadru legislativ minim referitor la îndeplinirea sarcinilor acestuia, definit în funcție de obiectivele Regulamentului 2016/679, se manifestă de asemenea prin lipsa unei prevederi referitoare la durata mandatului acestui responsabil – contrar celor prevăzute la articolul 44 alineatul (8) prima teză din Regulamentul 2018/1725 ( 30 ) – sau referitoare la cazul, precum în speță, al reorganizării unei întreprinderi care are ca efect externalizarea funcției responsabilului cu protecția datelor pentru motive care nu au legătură cu îndeplinirea sarcinii sale.

42.

În consecință, statele membre pot decide să consolideze independența responsabilului cu protecția datelor, întrucât participă la punerea în aplicare a obiectivelor Regulamentului 2016/679, în special în materie de concediere, din moment ce nu există nicio dispoziție în dreptul Uniunii care să poată servi drept temei pentru o protecție specială și concretă a acestuia împotriva concedierii pentru un motiv independent de îndeplinirea sarcinilor sale, în condițiile în care încetarea raportului de muncă are în mod necesar ca efect încetarea acestora.

43.

În această privință, trebuie amintit că, în domeniul protecției lucrătorilor, în cazul rezilierii contractului de muncă, articolul 153 alineatul (1) litera (d) TFUE precizează că Uniunea susține și completează acțiunea statelor membre și, mai general, în domeniul politicii sociale, Uniunea și statele membre dispun, în temeiul articolului 4 alineatul (2) litera (b) TFUE, pentru aspectele definite în Tratatul FUE, de o competență partajată, în sensul articolului 2 alineatul (2) TFUE.

44.

În aceste împrejurări, fiecare stat membru este liber să prevadă dispoziții speciale în materie de concediere a responsabilului cu protecția datelor, cu condiția ca dispozițiile menționate să fie compatibile cu regimul de protecție a acestuia prevăzut de Regulamentul 2016/679 ( 31 ).

45.

Astfel cum rezultă din examinarea succintă a reglementării statelor membre pe care am putut să o consultăm ( 32 ), cea mai mare parte dintre ele nu au adoptat dispoziții speciale referitoare la concediere, limitându‑se la interdicția prevăzută la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679, direct aplicabil ( 33 ).

46.

Cu toate acestea, alte state membre au ales să completeze articolul menționat ( 34 ).

47.

În această privință, observăm că grupul de lucru „Articolul 29” a considerat că, „[î]n cadrul unei gestionări normale și după cum este cazul pentru orice alt angajat sau persoană împuternicită de operator în conformitate cu dreptul contractelor sau cu dreptul muncii și cu dreptul penal aplicabile la nivel național, și în funcție de condițiile care sunt stabilite în acesta, un [responsabil cu protecția datelor] va putea fi concediat întotdeauna în mod legitim pentru alte motive decât îndeplinirea sarcinilor sale de [responsabil cu protecția datelor] (de exemplu, în caz de furt, de hărțuire fizică, psihică sau sexuală sau de alte abateri grave similare)” ( 35 ).

48.

Indiferent de alegerea statelor membre, organul administrativ sau jurisdicțional din fiecare dintre acestea însărcinat să controleze legalitatea motivului de demitere a responsabilului cu protecția datelor contribuie de asemenea, în opinia noastră, la garantarea independenței acestui responsabil.

49.

Astfel, din moment ce este foarte probabil ca legătura cu îndeplinirea satisfăcătoare a sarcinilor responsabilului cu protecția datelor să nu rezulte în mod expres din decizia de a‑l demite ( 36 ), se poate concepe o protecție generală întemeiată exclusiv pe calitatea de responsabil cu protecția datelor. În speță, din explicațiile instanței de trimitere rezultă că noțiunea de „motiv grav”, astfel cum este interpretată în dreptul german, conduce la considerarea, din motive de protecție suplimentară, că nu se poate pune capăt atribuțiilor responsabilului cu protecția datelor în caz de restructurare ( 37 ). În același sens, s‑ar putea considera de altfel că, în cazul unor dificultăți economice ale întreprinderii care are obligația de a desemna un responsabil cu protecția datelor și l‑a ales în acest scop pe unul dintre salariații săi, sarcinile acestuia ar trebui, din cauza obiectivului Regulamentului 2016/679 și a contribuției unui asemenea responsabil la atingerea acestuia, să continue să fie îndeplinite atât timp cât continuă activitatea angajatorului.

50.

Cu toate acestea, interdicția prevăzută la articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 are în mod necesar limite în cazul unor disfuncționalități obiective în îndeplinirea sarcinilor responsabilului cu protecția datelor având în vedere obligațiile sale. Aceste limite trebuie stabilite în conformitate cu obiectivul urmărit de regulamentul menționat ( 38 ).

51.

Astfel, o interpretare în aceeași măsură conformă cu obiectivul Regulamentului 2016/679 trebuie să conducă, în opinia noastră, la a admite că un responsabil cu protecția datelor poate fi demis atunci când nu mai îndeplinește criteriile calitative necesare pentru îndeplinirea sarcinilor sale, precum cele prevăzute la articolul 37 alineatul (5) din acest regulament, sau nu îndeplinește obligațiile stabilite la articolul 38 alineatul (3) prima și a treia teză, precum și la articolul 38 alineatele (5) și (6) din regulamentul menționat ( 39 ) sau chiar atunci când nivelul său de expertiză se dovedește insuficient ( 40 ).

52.

În consecință, considerăm că articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 trebuie interpretat în sensul că nu se opune unei reglementări naționale care prevede că angajatorul unui responsabil cu protecția datelor îl poate concedia numai pentru un motiv grav, chiar dacă concedierea nu are legătură cu îndeplinirea sarcinilor acestui responsabil.

53.

În cazul în care Curtea nu ar fi însă de acord cu această opinie și ar hotărî să răspundă afirmativ la prima întrebare a instanței de trimitere, ar trebui să se răspundă la celelalte două întrebări preliminare.

54.

Prin intermediul celei de a doua întrebări, instanța de trimitere urmărește să afle dacă articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 se opune unei reglementări naționale care interzice concedierea responsabilului cu protecția datelor de către angajatorul său în lipsa unui motiv grav, chiar dacă această concediere nu are legătură cu îndeplinirea sarcinilor sale, atunci când desemnarea responsabilului cu protecția datelor nu este obligatorie în temeiul articolului 37 alineatul (1) din acest regulament, ci numai în temeiul dreptului național, astfel cum prevede articolul 37 alineatul (4) din regulamentul menționat.

55.

Observăm că nici articolul 38 alineatul (3) din Regulamentul 2016/679, nici celelalte dispoziții ale secțiunii 4 din acest regulament, referitoare la responsabilul cu protecția datelor, nu fac distincție după cum desemnarea acestui responsabil este obligatorie sau facultativă.

56.

În consecință, considerăm că trebuie să se răspundă instanței de trimitere că articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 se aplică fără a fi necesar să se facă distincție după cum responsabilul cu protecția datelor este desemnat în mod obligatoriu în temeiul dreptului Uniunii sau în temeiul dreptului național.

57.

Prin intermediul celei de a treia întrebări, instanța de trimitere ridică problema validității articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679 și în special a aspectului dacă această dispoziție are un temei juridic suficient, în special în măsura în care vizează responsabilii cu protecția datelor care au un contract de muncă cu operatorul.

58.

Propunem Curții să considere că articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 are un temei juridic suficient, în măsura în care are ca obiect numai protejarea responsabilului cu protecția datelor împotriva oricărui obstacol în îndeplinirea sarcinilor sale și această garanție, fără a ține seama de existența unui raport de muncă, contribuie la realizarea efectivă a obiectivelor regulamentului menționat.

59.

Astfel, pe de o parte, după cum am arătat în cadrul analizei primei întrebări preliminare ( 41 ), articolul 16 TFUE constituie temeiul juridic pe care se întemeiază regulamentul menționat. În plus, Curtea a statuat că acest articol constituie, fără a aduce atingere articolului 39 TUE, un temei juridic adecvat atunci când protecția datelor cu caracter personal este una dintre finalitățile sau componentele esențiale ale normelor adoptate de legiuitorul Uniunii ( 42 ).

60.

Pe de altă parte, una dintre aceste condiții este, în opinia noastră, pe deplin îndeplinită în ceea ce privește rolul responsabilului cu protecția datelor și încadrarea sa, astfel cum sunt definite de Regulamentul 2016/679. Garantarea independenței funcționale a acestui responsabil, care urmărește să îndeplinească cerința asigurării, la un nivel ridicat, a respectării drepturilor fundamentale ale persoanelor vizate de prelucrarea datelor cu caracter personal ( 43 ), se reflectă la articolul 38 alineatul (3) a doua teză din acest regulament prin enunțarea unei interdicții de a pune capăt atribuțiilor sale pentru motive inerente sarcinilor sale. Întrucât această dispoziție nu impune vreo armonizare în dreptul muncii, legiuitorul Uniunii nu a depășit competențele normative care i‑au fost conferite la articolul 16 alineatul (2) TFUE.

61.

În ceea ce privește respectarea principiilor subsidiarității și proporționalității, problemă pe care o ridică de asemenea instanța de trimitere, subliniem, în primul rând, că intensificarea prelucrării transfrontaliere a datelor cu caracter personal justifică punerea în aplicare a protecției acestora la nivelul Uniunii în raport cu drepturile fundamentale ( 44 ), garantând în special prerogativele responsabilului cu protecția datelor avut în vedere ca un „actor‑cheie” al acestei protecții ( 45 ). În al doilea rând, considerăm că articolul 38 alineatul (3) a doua teză din Regulamentul 2016/679 nu depășește ceea ce este necesar pentru a garanta independența funcțională a acestui responsabil. Desigur, garanția de a nu fi demis, prevăzută de dispoziția menționată, are în mod necesar un impact asupra raportului de muncă. Totuși, această incidență nu urmărește decât să păstreze efectul util al funcției responsabilului cu protecția datelor.

62.

În consecință, considerăm că trebuie să se răspundă instanței de trimitere că examinarea celei de a treia întrebări preliminare nu a evidențiat niciun element de natură să afecteze validitatea articolului 38 alineatul (3) a doua teză din Regulamentul 2016/679.

63.

Având în vedere ansamblul considerațiilor care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Bundesarbeitsgericht (Curtea Federală pentru Litigii de Muncă, Germania) după cum urmează:

Cu titlu principal:

Cu titlu subsidiar, în ipoteza în care Curtea ar răspunde afirmativ la prima întrebare preliminară: