–

za X‑FAB Dresden GmbH & Co. KG S. Leese, Rechtsanwalt,

–

za FC R. Buschmann in T. Heller, zastopnika,

–

za nemško vlado J. Möller, D. Klebs in P.‑L. Krüger, agenti,

–

za Evropski parlament O. Hrstková Šolcová in B. Schäfer, agentki,

–

za Svet Evropske unije T. Haas in K. Pleśniak, agenta,

–

za Evropsko komisijo A. Bouchagiar, K. Herrmann in H. Kranenborg, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago in veljavnost člena 38(3), drugi stavek, Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2; v nadaljevanju: SUVP) in na razlago člena 38(6) te Uredbe.

2

Ta predlog je bil vložen v okviru spora med družbo X‑FAB Dresden GmbH & Co. KG (v nadaljevanju: X‑FAB) in osebo FC, zaposleno pri tej družbi, do katerega je prišlo po tem, ko je družba X‑FAB to osebo razrešila s položaja pooblaščene osebe za varstvo podatkov.

3

V uvodnih izjavah 10 in 97 SUVP je navedeno:

[…]

4

Člen 37 SUVP, naslovljen „Imenovanje pooblaščene osebe za varstvo podatkov“, v odstavkih 5 in 6 določa:

„5.   Pooblaščena oseba za varstvo podatkov se imenuje na podlagi poklicnih odlik in zlasti strokovnega znanja o zakonodaji in praksi na področju varstva podatkov ter zmožnosti za izpolnjevanje nalog iz člena 39.

6.   Pooblaščena oseba za varstvo podatkov je lahko član osebja upravljavca ali obdelovalca ali pa naloge opravlja na podlagi pogodbe o storitvah.“

5

Člen 38 SUVP, naslovljen „Položaj pooblaščene osebe za varstvo podatkov“, v odstavkih 3, 5 in 6 določa:

„3.   Upravljavec in obdelovalec zagotovita, da pooblaščena oseba za varstvo podatkov pri opravljanju teh nalog ne prejema nobenih navodil. Pooblaščena oseba za varstvo podatkov ne sme biti razrešena ali kaznovana zaradi opravljanja svojih nalog. Pooblaščena oseba za varstvo podatkov neposredno poroča najvišji upravni ravni upravljavca ali obdelovalca.

[…]

5.   Pooblaščena oseba za varstvo podatkov je pri opravljanju svojih nalog zavezana varovati skrivnost ali zaupnost v skladu s pravom Unije ali pravom države članice.

6.   Pooblaščena oseba za varstvo podatkov lahko opravlja druge naloge in dolžnosti. Upravljavec ali obdelovalec zagotovi, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov.“

6

Člen 39 SUVP, naslovljen „Naloge pooblaščene osebe za varstvo podatkov“, določa:

„1.   Pooblaščena oseba za varstvo podatkov ima vsaj naslednje naloge:

2.   Pooblaščena oseba za varstvo podatkov pri opravljanju svojih nalog upošteva tveganje, povezano z dejanji obdelave, ter naravo, obseg, okoliščine in namene obdelave.“

7

Člen 6 Bundesdatenschutzgesetz (zvezni zakon o varstvu podatkov) z dne 20. decembra 1990 (BGBl. 1990 I, str. 2954), v različici, ki je veljala od 25. maja 2018 do 25. novembra 2019 (BGBl. 2017 I, str. 2097) (v nadaljevanju: BDSG), naslovljen „Položaj“, v odstavku 4 določa:

„Pooblaščena oseba za varstvo podatkov se lahko razreši le z uporabo člena 626 Bürgerliches Gesetzbuch [(civilni zakonik), v različici, objavljeni 2. januarja 2002 (BGBl. 2002 I, str. 42, in popravka BGBl. 2002 I, str. 2909, in BGBl. 2003 I, str. 738)] po analogiji. Pooblaščene osebe za varstvo podatkov ni mogoče odpustiti, razen če ne gre za okoliščine, v katerih lahko javni organ osebo iz pomembnih razlogov odpusti brez odpovednega roka. Eno leto po koncu opravljanja nalog pooblaščene osebe za varstvo podatkov osebe, ki je opravljala te naloge, ni mogoče odpustiti, razen če ne gre za okoliščine, v katerih lahko javni organ osebo iz pomembnih razlogov odpusti brez odpovednega roka.“

8

Člen 38 BDSG, naslovljen „Pooblaščene osebe za varstvo podatkov izven javnih organov“, določa:

„1.   Poleg primerov, ki jih določa člen 37(1)(b) in (c) [SUVP], upravljavec in obdelovalec imenujeta pooblaščeno osebo za varstvo podatkov, če imata praviloma vsaj deset stalno zaposlenih na področju obdelave osebnih podatkov z avtomatiziranimi sredstvi. […]

2.   Člen 6(4), (5), drugi stavek, in (6) se uporabljajo, vendar člen 6(4) samo, če je imenovanje pooblaščene osebe za varstvo podatkov obvezno.“

9

Člen 626 civilnega zakonika, naslovljen „Odpoved iz pomembnega razloga brez odpovednega roka“, določa:

„1.   Vsaka pogodbena stranka lahko odpove delovno razmerje iz pomembnega razloga brez odpovednega roka, če obstajajo dejstva, zaradi katerih od stranke, ki odpove delovno razmerje, ob upoštevanju vseh okoliščin posameznega primera in ob tehtanju interesov obeh pogodbenih strank, ni mogoče zahtevati nadaljevanja delovnega razmerja do izteka odpovednega roka ali do dogovorjenega prenehanja delovnega razmerja.

2.   Pogodbo o zaposlitvi je mogoče odpovedati samo v roku dveh tednov. Rok začne teči, ko pogodbena stranka, ki ima pravico do odpovedi, izve za dejstva, ki so upoštevna za odpoved. […]“

10

Oseba FC je od 1. novembra 1993 zaposlena v družbi X‑FAB.

11

V tej družbi opravlja naloge predsednika sveta delavcev in je zato delno oproščena delovne obveznosti. Poleg tega opravlja naloge podpredsednika centralnega sveta delavcev, ki je bil ustanovljen za tri podjetja iz skupine družb, katere del je družba X‑FAB, ki imajo sedež v Nemčiji.

12

Družba X‑FAB, njena matična družba ter druge hčerinske družbe te matične družbe s sedežem v Nemčiji so vsaka posebej FC z učinkom od 1. junija 2015 imenovale za pooblaščeno osebo za varstvo podatkov. Predložitveno sodišče navaja, da je bil cilj tega večkratnega imenovanja FC za pooblaščeno osebo za varstvo podatkov vseh teh podjetij, da se zagotovi enotna raven varstva podatkov v teh podjetjih.

13

Na zahtevo pooblaščene osebe za varstvo podatkov in svobodo obveščanja Turingije (Nemčija) so X‑FAB in podjetja, navedena v točki 12 te sodbe, z dopisi z dne 1. decembra 2017 FC s takojšnjim učinkom razrešili s položaja pooblaščene osebe za varstvo podatkov. Ta podjetja so z ločenimi dopisi z dne 25. maja 2018 za vsak primer to storila še enkrat na podlagi člena 38(3), drugi stavek, SUVP, ki je medtem že začel veljati, pri čemer so se sklicevala na razloge, povezane s skupino družb, v katero spada družba X‑FAB.

14

Oseba FC s tožbo, ki jo je vložila pri nemških sodiščih, predlaga, naj se ugotovi, da ima še vedno status pooblaščene osebe za varstvo podatkov družbe X‑FAB. Ta družba trdi, da bi obstajalo tveganje nasprotja interesov, če bi oseba FC hkrati opravljala naloge pooblaščene osebe za varstvo podatkov in predsednika sveta delavcev, ker ta dva položaja nista združljiva. Zato naj bi obstajal resen razlog, ki naj bi upravičeval razrešitev FC s položaja pooblaščene osebe za varstvo podatkov.

15

Prvostopenjsko in pritožbeno sodišče sta tožbenemu zahtevku FC ugodili. Družba X‑FAB z revizijo pred Bundesarbeitsgericht (zvezno delovno sodišče, Nemčija), ki je predložitveno sodišče, predlaga, naj se tožbeni zahtevek zavrne.

16

Predložitveno sodišče ugotavlja, da je odločitev o tej pritožbi odvisna od razlage prava Unije. Natančneje, po eni strani naj bi se postavljalo vprašanje, ali člen 38(3), drugi stavek, SUVP nasprotuje temu, da ureditev države članice za razrešitev pooblaščene osebe za varstvo podatkov določa strožje pogoje od tistih, ki jih določa pravo Unije, in, če je to tako, ali ta določba temelji na zadostni pravni podlagi. Če bi Sodišče menilo, da so pogoji, ki jih BDSG določa za razrešitev, v skladu s pravom Unije, bi bilo treba ugotoviti, ali lahko naloge predsednika sveta delavcev in pooblaščene osebe za varstvo podatkov v istem podjetju opravlja ena sama oseba ali pa to povzroči nasprotje interesov v smislu člena 38(6), drugi stavek, SUVP.

17

V teh okoliščinah je Bundesarbeitsgericht (zvezno delovno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

Če je odgovor na prvo vprašanje pritrdilen:

Če je odgovor na prvo vprašanje pritrdilen:

Če je odgovor na prvo vprašanje nikalen:

18

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 38(3), drugi stavek, SUVP razlagati tako, da nasprotuje nacionalni ureditvi, ki določa, da lahko upravljavec ali obdelovalec pooblaščeno osebo za varstvo podatkov, ki je član njegovega osebja, razreši le iz pomembnega razloga, tudi če razrešitev ni povezana z opravljanjem nalog te osebe.

19

Kot izhaja iz ustaljene sodne prakse, je treba pri razlagi določbe prava Unije upoštevati ne le njeno besedilo v skladu z njegovim običajnim pomenom v vsakdanjem jeziku, ampak tudi sobesedilo in cilje, ki jim sledi ureditev, katere del je (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 18 in navedena sodna praksa).

20

Na prvem mestu, v zvezi z besedilom zadevne določbe je treba ugotoviti, da člen 38(3) SUVP v drugem stavku določa, da „[p]ooblaščena oseba za varstvo podatkov ne sme biti razrešena ali kaznovana zaradi opravljanja svojih nalog“.

21

V zvezi s tem je Sodišče v sodbi z dne 22. junija 2022, Leistritz (C‑534/20, EU:C:2022:495, točki 20 in 21), potem ko je ugotovilo, da v SUVP niso opredeljeni izrazi „razrešena“, „kaznovana“ in „zaradi opravljanja svojih nalog“, navedeni v tem členu 38(3), drugi stavek, poudarilo, prvič, da v skladu s pomenom teh izrazov v vsakdanjem jeziku prepoved upravljavcu ali obdelovalcu, da razreši pooblaščeno osebo za varstvo podatkov ali da jo kaznuje, pomeni, da mora biti ta pooblaščena oseba zaščitena pred vsako odločitvijo, s katero bi prenehale njene naloge, s katero bi bila postavljena v slabši položaj ali ki bi pomenila kazen.

22

Ukrep razrešitve pooblaščene osebe za varstvo podatkov, ki ga sprejme delodajalec te osebe in katerega posledica je, da pooblaščena oseba za varstvo podatkov preneha opravljati svoje naloge pri upravljavcu ali obdelovalcu, pa bi lahko bil taka odločitev.

23

Drugič, kot je prav tako navedlo Sodišče, se člen 38(3), drugi stavek, SUVP uporablja tako za pooblaščeno osebo za varstvo podatkov, ki je član osebja upravljavca ali obdelovalca, kot za pooblaščeno osebo za varstvo podatkov, ki svoje naloge opravlja na podlagi pogodbe o storitvah, ki jo v skladu s členom 37(6) SUVP sklene z upravljavcem oziroma obdelovalcem, tako da se ta člen 38(3), drugi stavek, SUVP uporablja za razmerja med pooblaščeno osebo za varstvo podatkov in upravljavcem oziroma obdelovalcem, ne glede na naravo delovnega razmerja med to pooblaščeno osebo in tem upravljavcem oziroma obdelovalcem (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EUC:2022:495, točki 23 in 24).

24

Tretjič, zadnjenavedena določba določa omejitev, ki se nanaša na prepoved razrešitve pooblaščene osebe za varstvo podatkov iz razlogov, povezanih z opravljanjem nalog te osebe, ki – kot je določeno v členu 39(1)(b) SUVP – obsegajo zlasti spremljanje skladnosti z določbami prava Unije ali prava držav članic na področju varstva podatkov in skladnosti notranjih pravil upravljavca ali obdelovalca na področju varstva osebnih podatkov (glej v tem smislu sodbo z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 25).

25

Na drugem mestu je treba v zvezi s ciljem člena 38(3), drugi stavek, SUVP ugotoviti, prvič, da je v uvodni izjavi 97 te uredbe navedeno, da bi pooblaščena oseba za varstvo podatkov morala svoje dolžnosti in naloge izvajati neodvisno, ne glede na to, ali je pri upravljavcu zaposlena ali ne. V zvezi s tem je treba ugotoviti, da ji mora taka neodvisnost nujno omogočiti opravljanje teh nalog v skladu s ciljem SUVP, pri čemer je namen te uredbe zlasti – kot je razvidno iz njene uvodne izjave 10 – zagotoviti visoko raven varstva posameznikov v Uniji ter v ta namen zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih svoboščin in pravic teh posameznikov pri obdelavi osebnih podatkov v celotni Uniji (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 26 in navedena sodna praksa).

26

Drugič, cilj zagotavljanja neodvisnosti pooblaščene osebe za varstvo podatkov pri opravljanju njenih nalog, kot izhaja iz člena 38(3), drugi stavek, SUVP, izhaja tudi iz tega člena 38(3), prvi in tretji stavek, v skladu s katerim se zahteva, da ta pooblaščena oseba pri opravljanju svojih nalog ne prejema nobenih navodil in da neposredno poroča najvišji upravni ravni upravljavca ali obdelovalca, ter iz člena 38(5) SUVP, ki glede opravljanja teh nalog določa, da je ta pooblaščena oseba zavezana varovati skrivnost ali zaupnost (sodba z dne 22. februarja 2002 v zadevi Leistritz, C‑534/20, EU:C:2022:495, točka 27).

27

Tako je treba šteti, da je namen člena 38(3), drugi stavek, SUVP, ko pooblaščeno osebo za varstvo podatkov ščiti pred vsako odločitvijo, s katero bi prenehale njene naloge, s katero bi bila postavljena v slabši položaj ali ki bi pomenila kazen – če bi bila taka odločitev povezana z opravljanjem njenih nalog – v bistvu ohraniti neodvisnost pooblaščene osebe za varstvo podatkov pri opravljanju njenih nalog in tako zagotoviti učinkovitost določb SUVP (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 28).

28

Sodišče je navedlo tudi, da to razlago potrjujeta okvir, v katerega je umeščena navedena določba, in zlasti pravna podlaga, na podlagi katere je zakonodajalec Unije sprejel SUVP (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 29).

29

Iz uvodnih izjav SUVP je namreč razvidno, da je bila ta uredba sprejeta na podlagi člena 16 PDEU, ki v odstavku 2 med drugim določa, da Evropski parlament in Svet Evropske unije po rednem zakonodajnem postopku določata pravila, ki se po eni strani nanašajo na varstvo posameznikov pri obdelavi osebnih podatkov, ki jo izvajajo institucije, organi, uradi in agencije Unije ter države članice v okviru dejavnosti s področja uporabe prava Unije, in po drugi strani na prosti pretok takih podatkov (sodba z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 30).

30

V zvezi s tem je treba ugotoviti, da določitev pravil v zvezi z varstvom pred razrešitvijo pooblaščene osebe za varstvo podatkov, zaposlene pri upravljavcu ali obdelovalcu, na področje varstva posameznikov pri obdelavi osebnih podatkov spada le v zelo omejenem delu, v katerem so taka pravila namenjena ohranitvi neodvisnosti te osebe pri opravljanju njenih nalog, kot to izhaja iz člena 38(3), drugi stavek, SUVP (glej v tem smislu sodbo z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 35).

31

Iz tega izhaja, da lahko vsaka država članica pri izvajanju svoje pristojnosti prosto določi posebne določbe, ki zagotavljajo višjo raven varstva pooblaščene osebe za varstvo podatkov pred razrešitvijo, če so te določbe združljive s pravom Unije in zlasti z določbami SUVP, še posebej z njenim členom 38(3), drugi stavek (glej v tem smislu sodbo z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 34).

32

Natančneje, taka višja raven varstva ne sme ogroziti uresničevanja ciljev SUVP. Za tak primer pa bi šlo, če bi se s takim varstvom upravljavcu ali obdelovalcu preprečila vsaka razrešitev pooblaščene osebe za varstvo podatkov, ki ne bi več imela poklicnih odlik, ki se s členom 37(5) SUVP zahtevajo za opravljanje njenih nalog, ali ki teh nalog ne bi opravljala v skladu z določbami SUVP (glej v tem smislu sodbo z dne 22. junija 2022, Leistritz, C‑534/20, EU:C:2022:495, točka 35).

33

V zvezi s tem je treba spomniti, kot je bilo navedeno v točki 25 te sodbe, da je namen SUVP zagotoviti visoko raven varstva posameznikov v Uniji v zvezi z obdelavo njihovih osebnih podatkov in da mora biti pooblaščena oseba za varstvo podatkov za to, da bi se ta cilj dosegel, zmožna svoje naloge opravljati neodvisno.

34

Tako bi povišana raven varstva pooblaščene osebe za varstvo podatkov, ki bi preprečevala njeno razrešitev tudi v primeru, v katerem zaradi nasprotja interesov svojih nalog ne bi mogla več opravljati neodvisno, ogrožala uresničitev tega cilja.

35

Nacionalno sodišče mora zagotoviti, da so posamične določbe, kakršne so navedene v točki 31 te sodbe, v skladu s pravom Unije in zlasti z določbami SUVP.

36

Glede na zgornje preudarke je treba na prvo vprašanje odgovoriti, da je treba člen 38(3), drugi stavek, SUVP razlagati tako, da ne nasprotuje nacionalni ureditvi, ki določa, da lahko upravljavec ali obdelovalec pooblaščeno osebo za varstvo podatkov, ki je član njegovega osebja, razreši le iz pomembnega razloga, tudi če razrešitev ni povezana z opravljanjem nalog te osebe, če taka ureditev ne ogroža uresničevanja ciljev SUVP.

37

Glede na odgovor na prvo vprašanje, na drugo in tretje vprašanje ni treba odgovoriti.

38

Predložitveno sodišče s četrtim vprašanjem v bistvu sprašuje, pod katerimi pogoji je mogoče ugotoviti obstoj „nasprotja interesov“ v smislu člena 38(6) SUVP.

39

Prvič, glede besedila zadevne določbe je treba ugotoviti, da v skladu s členom 38(6), drugi stavek, SUVP „pooblaščena oseba za varstvo podatkov lahko opravlja druge naloge in dolžnosti. Upravljavec ali obdelovalec zagotovi, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov.“

40

Iz besedila te določbe tako izhaja, prvič, da SUVP ne vzpostavlja načelne nezdružljivosti opravljanja nalog pooblaščene osebe za varstvo podatkov in opravljanja drugih nalog pri upravljavcu ali obdelovalcu. Člen 38(6) te uredbe namreč izrecno določa, da lahko pooblaščena oseba za varstvo podatkov opravlja tudi druge naloge in dolžnosti, in ne samo tiste, ki jih ima na podlagi člena 39 SUVP.

41

Drugič, upravljavec ali njegov obdelovalec pa morata vseeno zagotoviti, da te druge naloge in dolžnosti ne povzročajo „nasprotja interesov“. Glede na pomen teh izrazov v vsakdanjem jeziku je treba ugotoviti, da iz cilja, ki se želi doseči s členom 38(6) SUVP, izhaja, da pooblaščeni osebi za varstvo podatkov ne smejo biti zaupane naloge ali dolžnosti, ki bi lahko škodile opravljanju nalog, ki jih opravlja kot pooblaščena oseba za varstvo podatkov.

42

Glede tega cilja je treba na drugem mestu poudariti, da je namen te določbe, tako kot drugih določb, navedenih v točki 25 te sodbe, v bistvu ohraniti neodvisnost pooblaščene osebe za varstvo podatkov pri opravljanju njenih nalog in s tem zagotoviti učinkovitost določb SUVP.

43

Na tretjem mestu, v zvezi s sobesedilom, v katero je umeščen člen 38(6) SUVP, je treba ugotoviti, da je v skladu s členom 39(1)(b) SUVP naloga pooblaščenih oseb za varstvo podatkov zlasti spremljanje skladnosti s SUVP in z drugimi določbami prava Unije ali prava držav članic na področju varstva podatkov in spremljanje skladnosti notranjih pravil upravljavca ali obdelovalca na področju varstva osebnih podatkov, vključno z dodeljevanjem nalog, ozaveščanjem in usposabljanjem osebja, vključenega v dejanja obdelave, ter s tem povezanimi revizijami.

44

Iz tega izhaja zlasti, da pooblaščeni osebi za varstvo podatkov ne smejo biti zaupane naloge ali dolžnosti, ki bi vključevale določanje namenov in sredstev obdelave osebnih podatkov pri upravljavcu ali njegovem obdelovalcu. V skladu s pravom Unije ali pravom držav članic na področju varstva podatkov mora namreč pooblaščena oseba za varstvo podatkov nadzor nad temi nameni in sredstvi opravljati neodvisno.

45

Obstoj navzkrižja interesov v smislu člena 38(6) SUVP je treba ugotavljati od primera do primera na podlagi presoje vseh upoštevnih okoliščin, zlasti organizacijske strukture upravljavca ali njegovega obdelovalca, in ob upoštevanju vseh veljavnih predpisov, vključno z morebitnimi notranjimi pravili tega upravljavca ali obdelovalca.

46

Glede na vse navedeno je treba na četrto vprašanje odgovoriti, da je treba člen 38(6) SUVP razlagati tako, da „nasprotje interesov“ v smislu te določbe lahko obstaja, če so bile pooblaščeni osebi za varstvo podatkov zaupane druge naloge ali dolžnosti, zaradi katerih mora ta oseba določati namene in sredstva obdelave osebnih podatkov pri upravljavcu ali njegovem obdelovalcu, o čemer mora nacionalno sodišče presoditi od primera do primera, na podlagi presoje vseh upoštevnih okoliščin, zlasti organizacijske strukture upravljavca ali njegovega obdelovalca, in ob upoštevanju vseh veljavnih predpisov, vključno z morebitnimi notranjimi pravili tega upravljavca ali obdelovalca.

47

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (šesti senat) razsodilo: