ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Sexta Secção)
9 de fevereiro de 2023 (*)
«Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Artigo 38.o, n.o 3 — Encarregado da proteção de dados — Proibição de destituição pelo facto de exercer as suas funções — Exigência de independência funcional — Regulamentação nacional que proíbe a destituição do encarregado da proteção de dados sem um motivo grave — Artigo 38.o, n.o 6 — Conflito de interesses — Critérios»
No processo C‑453/21,
que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.o TFUE, pelo Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal, Alemanha), por Decisão de 27 de abril de 2021, que deu entrada no Tribunal de Justiça em 21 de julho de 2021, no processo
X‑FAB Dresden GmbH & Co. KG
contra
FC,
O TRIBUNAL DE JUSTIÇA (Sexta Secção),
composto por: P. G. Xuereb, presidente de secção, A. Kumin e I. Ziemele (relatora), juízes,
advogado‑geral: J. Richard de la Tour,
secretário: D. Dittert, chefe de unidade,
vistos os autos e após a audiência de 26 de setembro de 2022,
vistas as observações apresentadas:
– em representação da X‑FAB Dresden GmbH & Co. KG, por S. Leese, Rechtsanwalt,
– em representação de FC, por R. Buschmann e T. Heller, Prozessbevollmächtigte,
– em representação do Governo alemão, por J. Möller, D. Klebs e P.‑L. Krüger, na qualidade de agentes,
– em representação do Parlamento Europeu, por O. Hrstková Šolcová e B. Schäfer, na qualidade de agentes,
– em representação do Conselho da União Europeia, por T. Haas e K. Pleśniak, na qualidade de agentes,
– em representação da Comissão Europeia, por A. Bouchagiar, K. Herrmann e H. Kranenborg, na qualidade de agentes,
vista a decisão tomada, ouvido o advogado‑geral, de julgar a causa sem apresentação de conclusões,
profere o presente
Acórdão
1 O pedido de decisão prejudicial tem por objeto a interpretação e a validade do artigo 38.o, n.o 3, segundo período, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1, e retificação no JO 2018, L 127, p. 2; a seguir «RGPD»), bem como a interpretação do artigo 38.o, n.o 6, deste regulamento.
2 Este pedido foi apresentado no âmbito de um litígio que opõe a X‑FAB Dresden GmbH & Co. KG (a seguir «X‑FAB») a FC, seu trabalhador, a respeito da destituição deste último das suas funções de encarregado da proteção de dados (a seguir «EPD»), decretada pela X‑FAB.
Quadro jurídico
Direito da União
3 Os considerandos 10 e 97 do RGPD enunciam:
«(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. […]
[…]
(97) […] Estes [EPD], sejam ou não empregados do responsável pelo tratamento, deverão estar em condições de desempenhar as suas funções e atribuições com independência.»
4 O artigo 37.o do RGPD, sob a epígrafe «Designação do [EPD]», dispõe, nos seus n.os 5 e 6:
«5. O [EPD] é designado com base nas suas qualidades profissionais e, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados, bem como na sua capacidade para desempenhar as funções referidas no artigo 39.o
6. O [EPD] pode ser um elemento do pessoal da entidade responsável pelo tratamento ou do subcontratante, ou exercer as suas funções com base num contrato de prestação de serviços.»
5 O artigo 38.o do RGPD, sob a epígrafe «Posição do [EPD]», prevê, nos seus n.os 3, 5 e 6:
«3. O responsável pelo tratamento e o subcontratante asseguram que [o EPD] não recebe instruções relativamente ao exercício das suas funções. O [EPD] não pode ser destituído nem penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções. O [EPD] informa diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratante.
[…]
5. O [EPD] está vinculado à obrigação de sigilo ou de confidencialidade no exercício das suas funções, em conformidade com o direito da União ou dos Estados‑Membros.
6. O [EPD] pode exercer outras funções e atribuições. O responsável pelo tratamento ou o subcontratante assegura que essas funções e atribuições não resultam num conflito de interesses.»
6 O artigo 39.o do RGPD, sob a epígrafe «Funções do [EPD]», tem a seguinte redação:
«1. O [EPD] tem, pelo menos, as seguintes funções:
a) Informa e aconselha o responsável pelo tratamento ou o subcontratante, bem como os trabalhadores que tratem os dados, a respeito das suas obrigações nos termos do presente regulamento e de outras disposições de proteção de dados da União ou dos Estados‑Membros;
b) Controla a conformidade com o presente regulamento, com outras disposições de proteção de dados da União ou dos Estados‑Membros e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes;
c) Presta aconselhamento, quando tal lhe for solicitado, no que respeita à avaliação de impacto sobre a proteção de dados e controla a sua realização nos termos do artigo 35.o;
d) Coopera com a autoridade de controlo;
e) Ponto de contacto para a autoridade de controlo sobre questões relacionadas com o tratamento, incluindo a consulta prévia a que se refere o artigo 36.o, e consulta, sendo caso disso, esta autoridade sobre qualquer outro assunto.
2. No desempenho das suas funções, o [EPD] tem em devida consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento.»
Direito alemão
BDSG
7 O § 6 da Bundesdatenschutzgesetz (Lei Federal sobre a Proteção de Dados), de 20 de dezembro de 1990 (BGBl. 1990 I, p. 2954), na versão em vigor de 25 de maio de 2018 a 25 de novembro de 2019 (BGBl. 2017 I, p. 2097) (a seguir «BDSG»), sob a epígrafe «Função», dispõe, no n.o 4:
«O [EPD] só pode ser destituído por aplicação analógica do § 626 do Bürgerliches Gesetzbuch [(Código Civil), na versão publicada em 2 de janeiro de 2002 (BGBl. 2002 I, p. 42, e retificações no BGBl. 2002 I, p. 2909, e no BGBl. 2003 I, p. 738)]. O despedimento do [EPD] é ilegal, a menos que os factos permitam ao organismo público proceder ao seu despedimento por um motivo grave sem cumprimento do prazo de pré‑aviso. Após a cessação das funções de [EPD], o despedimento é ilegal durante um ano, a menos que o organismo público seja autorizado a proceder ao despedimento por um motivo grave sem cumprimento do prazo de pré‑aviso.»
8 O § 38 da BDSG, sob a epígrafe «[EPD] de organismos não públicos», prevê:
«(1) Adicionalmente ao artigo 37.o, n.o 1, alíneas b) e c), do [RGPD], o responsável pelo tratamento e o subcontratante designam um [EPD] quando empreguem habitualmente pelo menos dez pessoas afetas permanentemente ao tratamento automatizado de dados pessoais. […]
(2) É aplicável o § 6, n.os 4, 5, segundo período, e 6; no entanto, o § 6, n.o 4, só é aplicável quando a designação de um [EPD] for obrigatória.»
Código Civil
9 O § 626 do Código Civil, sob a epígrafe «Resolução por motivo grave sem pré‑aviso», dispõe:
«(1) Qualquer das partes contratantes pode fazer cessar a relação laboral por motivo grave, sem cumprimento do prazo de pré‑aviso, quando, devido a determinados factos, tendo em consideração todas as circunstâncias do caso concreto e ponderados os interesses das duas partes, seja impossível a subsistência da relação laboral até ao termo do prazo de pré‑aviso ou do acordado no contrato.
(2) A resolução só pode ter lugar no prazo de duas semanas. O prazo começa a correr a partir do momento em que a parte que tem direito à resolução toma conhecimento dos factos pertinentes para a mesma. […]»
Litígio no processo principal e questões prejudiciais
10 FC trabalha na X‑FAB desde 1 de novembro de 1993.
11 Exerce nessa sociedade as funções de presidente da comissão de trabalhadores e está, a esse título, parcialmente dispensado de trabalhar. Além disso, ocupa a função de vice‑presidente da comissão central de trabalhadores que foi constituída para três empresas do grupo de sociedades a que pertence a X‑FAB, sediadas na Alemanha.
12 Com efeitos a partir de 1 de junho de 2015, FC foi designado, separadamente por cada empresa, como EPD da X‑FAB, da sociedade‑mãe da mesma, bem como das outras filiais desta última com sede na Alemanha. Segundo o órgão jurisdicional de reenvio, o objetivo desta designação paralela de FC como EPD de todas estas empresas era assegurar um nível uniforme de proteção dos dados nas referidas empresas.
13 A pedido do encarregado da proteção de dados e da liberdade de informação da Turíngia (Alemanha), a X‑FAB e as empresas mencionadas no n.o 12 do presente acórdão, por cartas de 1 de dezembro de 2017, destituíram, com efeito imediato, FC das suas funções de EPD. Por cartas separadas de 25 de maio de 2018, essas empresas repetiram, para os devidos efeitos, a sua diligência, com fundamento no artigo 38.o, n.o 3, segundo período, do RGPD, que entretanto se tornou aplicável, invocando razões ligadas ao grupo de sociedades a que pertence a X‑FAB.
14 A ação intentada por FC nos órgãos jurisdicionais alemães visa obter uma declaração de que ainda tem o estatuto de EPD na X‑FAB. Esta última alega que existe um risco de conflito de interesses se FC exercesse simultaneamente as funções de EPD e de presidente da comissão de trabalhadores, pelo facto de estes dois cargos serem incompatíveis. Por conseguinte, existiria um motivo grave para que FC fosse destituído das suas funções como EPD.
15 Os órgãos jurisdicionais de primeira instância e de recurso julgaram procedente a ação intentada por FC. O recurso de «Revision», interposto pela X‑FAB no Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal, Alemanha), que é o órgão jurisdicional de reenvio, destina‑se a que esta ação seja julgada improcedente.
16 O órgão jurisdicional de reenvio observa que a decisão sobre esse recurso depende da interpretação do direito da União. Especialmente, coloca‑se, por um lado, a questão de saber se o artigo 38.o, n.o 3, segundo período, do RGPD se opõe a que a regulamentação de um Estado‑Membro sujeite a destituição de um EPD a requisitos mais estritos do que os previstos pelo direito da União e, em caso de resposta afirmativa, se esta disposição assenta numa base legal suficiente. Na hipótese de o Tribunal de Justiça considerar que os requisitos a que a BDSG sujeita a destituição estão em conformidade com o direito da União, importa determinar se as funções de presidente da comissão de trabalhadores e de EPD dessa mesma empresa podem ser exercidas pela mesma pessoa ou se isso resulta num conflito de interesses na aceção do artigo 38.o, n.o 6, segundo período, do RGPD.
17 Nestas circunstâncias, o Bundesarbeitsgericht (Supremo Tribunal do Trabalho Federal) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:
«1) Deve o artigo 38.o, n.o 3, segundo período, do [RGPD] ser interpretado no sentido de que se opõe a uma disposição do direito nacional como o § 38, n.os 1 e 2, conjugado com o § 6, n.o 4, primeiro período, da [BDSG], que subordina a destituição do [EPD] pelo responsável pelo tratamento de dados, que é o seu empregador, aos requisitos mencionados nessa disposição, independentemente de a destituição ocorrer por motivos relacionados com o desempenho das suas funções?
Em caso de resposta afirmativa à primeira questão:
2) O artigo 38.o, n.o 3, segundo período, do [RGPD] também se opõe a essa disposição do direito nacional, quando a designação do [EPD] for obrigatória, não nos termos do artigo 37.o, n.o 1, do RGPD, mas apenas em virtude da lei desse Estado‑Membro?
Em caso de resposta afirmativa à primeira questão:
3) O artigo 38.o, n.o 3, segundo período, do [RGPD] tem uma base legal suficiente, nomeadamente pelo facto de se aplicar a [EPD] que têm uma relação de trabalho com o responsável pelo tratamento?
Em caso de resposta negativa à primeira questão:
4) Existe um conflito de interesses na aceção do artigo 38.o, n.o 6, segundo período, do [RGPD], quando o [EPD] exerce simultaneamente a função de presidente [da comissão de trabalhadores] constituíd[a] no departamento responsável pelo tratamento? Para se considerar que existe tal conflito de interesses é necessário que lhe sejam atribuídas funções específicas no seio [da comissão de trabalhadores]?»
Quanto às questões prejudiciais
Quanto à primeira questão
18 Com a primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 38.o, n.o 3, segundo período, do RGPD deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que prevê que um responsável pelo tratamento ou um subcontratante só pode destituir um EPD que é um elemento do seu pessoal por um motivo grave, mesmo que a destituição não esteja relacionada com o exercício das funções desse encarregado.
19 Como resulta de jurisprudência constante, na interpretação de uma disposição do direito da União, há que ter em conta não só os seus termos, de acordo com o seu sentido habitual na linguagem corrente, mas também o seu contexto e os objetivos prosseguidos pela regulamentação de que faz parte (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 18 e jurisprudência referida).
20 Em primeiro lugar, no que respeita à redação da disposição em causa, importa salientar que o artigo 38.o, n.o 3, do RGPD dispõe, no segundo período, que «[o] [EPD] não pode ser destituído nem penalizado pelo responsável pelo tratamento ou pelo subcontratante pelo facto de exercer as suas funções».
21 A este respeito, no Acórdão de 22 de junho de 2022, Leistritz (C‑534/20, EU:C:2022:495, n.os 20 e 21), o Tribunal de Justiça, após ter constatado que o RGPD não define os termos «destituído», «penalizado» e «pelo facto de exercer as suas funções», que figuram neste artigo 38.o, n.o 3, segundo período, sublinhou, primeiro, que, em conformidade com o sentido destes termos na linguagem corrente, a proibição imposta ao responsável pelo tratamento ou ao subcontratante de destituir ou de penalizar um EPD pelo exercício das suas funções significa que esse EPD deve ser protegido de toda e qualquer decisão pela qual seja destituído, pela qual sofra uma desvantagem ou que constitua uma sanção.
22 Ora, é suscetível de constituir uma decisão desse tipo uma medida de destituição de um EPD tomada pelo seu empregador e que tem como consequência destituir o EPD das suas funções junto do responsável pelo tratamento ou do seu subcontratante.
23 Segundo, como o Tribunal de Justiça salientou igualmente, o artigo 38.o, n.o 3, segundo período, do RGPD é aplicável indistintamente tanto ao EPD, que é um elemento do pessoal da entidade responsável pelo tratamento ou do subcontratante, como a quem exerce as suas funções com base num contrato de prestação de serviços celebrado com estes últimos, em conformidade com o artigo 37.o, n.o 6, do RGPD, pelo que este artigo 38.o, n.o 3, segundo período, visa ser aplicado às relações entre um EPD e um responsável pelo tratamento ou um subcontratante, independentemente da natureza da relação laboral que vincula esse EPD a estes últimos (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.os 23 e 24).
24 Terceiro, esta última disposição fixa um limite que consiste em proibir a destituição de um EPD por uma causa relativa ao exercício das suas funções, que incluem, particularmente, de acordo com o artigo 39.o, n.o 1, alínea b), do RGPD, o controlo da conformidade com disposições de proteção de dados da União ou dos Estados‑Membros e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais (v., neste sentido, Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 25).
25 Em segundo lugar, no que respeita ao objetivo prosseguido pelo artigo 38.o, n.o 3, segundo período, do RGPD, primeiro, o considerando 97 deste último enuncia que os EPD, sejam ou não empregados do responsável pelo tratamento, deverão estar em condições de desempenhar as suas funções e atribuições com independência. A este respeito, essa independência deve necessariamente permitir‑lhes exercer essas funções em conformidade com o objetivo do RGPD, que visa nomeadamente, como resulta do seu considerando 10, assegurar um nível de proteção elevado das pessoas singulares na União e, para o efeito, assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais dessas pessoas no que diz respeito ao tratamento de dados pessoais (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 26 e jurisprudência referida).
26 Segundo, o objetivo que visa garantir a independência funcional do EPD, conforme decorre do artigo 38.o, n.o 3, segundo período, do RGPD, resulta igualmente do artigo 38.o, n.o 3, primeiro e terceiro períodos, do mesmo, que impõe que esse EPD não receba instruções relativamente ao exercício das suas funções e informe diretamente a direção ao mais alto nível do responsável pelo tratamento ou do subcontratante, bem como do artigo 38.o, n.o 5, do RGPD que prevê, no que respeita a esse exercício, que o referido EPD está vinculado à obrigação de sigilo ou de confidencialidade (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 27).
27 Assim, deve considerar‑se que, ao proteger o EPD de toda e qualquer decisão que o destitua, lhe cause uma desvantagem ou constitua uma sanção, quando essa decisão está relacionada com o exercício das suas funções, o artigo 38.o, n.o 3, segundo período, do RGPD visa essencialmente preservar a independência funcional do EPD e, portanto, garantir a efetividade das disposições do RGPD (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 28).
28 Em terceiro lugar, como o Tribunal de Justiça também declarou, esta interpretação é corroborada pelo contexto em que se insere essa disposição e, especialmente, pela base jurídica sobre a qual o legislador da União fundamentou a adoção do RGPD (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 29).
29 Com efeito, resulta do preâmbulo do RGPD que este foi adotado com base no artigo 16.o TFUE, cujo n.o 2 prevê, nomeadamente, que o Parlamento Europeu e o Conselho da União Europeia, deliberando de acordo com o processo legislativo ordinário, estabelecem as normas relativas, por um lado, à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos e organismos da União, bem como pelos Estados‑Membros no exercício de atividades relativas à aplicação do direito da União, e, por outro, à livre circulação desses dados (Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 30).
30 A este respeito, a fixação de regras relativas à proteção contra a destituição de um EPD empregado por um responsável pelo tratamento ou por um subcontratante só é abrangida pela proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais na estrita medida em que essas regras visem preservar a independência funcional deste último, em conformidade com o artigo 38.o, n.o 3, segundo período, do RGPD (v., neste sentido, Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 31).
31 Daqui decorre que cada Estado‑Membro pode, no exercício da sua competência reservada, prever disposições específicas mais protetoras em matéria de destituição do EPD, desde que essas disposições sejam compatíveis com o direito da União e, sobretudo, com as disposições do RGPD, nomeadamente o seu artigo 38.o, n.o 3, segundo período (v., neste sentido, Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 34).
32 Especialmente, essa proteção acrescida não pode comprometer a realização dos objetivos do RGPD. Ora, seria esse o caso se impedisse a destituição, por um responsável pelo tratamento ou por um subcontratante, de um EPD que já não tivesse as qualidades profissionais exigidas para exercer as suas funções, em conformidade com o artigo 37.o, n.o 5, do RGPD, ou que não desempenhasse essas funções em conformidade com as disposições desse regulamento (v., neste sentido, Acórdão de 22 de junho de 2022, Leistritz, C‑534/20, EU:C:2022:495, n.o 35)
33 A este respeito, importa recordar, como foi salientado no n.o 25 do presente acórdão, que o RGPD visa assegurar um nível de proteção elevado das pessoas singulares na União no que diz respeito ao tratamento dos seus dados pessoais, e que, para a realização desse objetivo, o EPD deve estar em condições de desempenhar as suas funções e atribuições com independência.
34 Assim, uma proteção acrescida do EPD que impeça a destituição do mesmo no caso de este não estar ou já não estar em condições de desempenhar as suas funções com independência em razão da existência de um conflito de interesses compromete a realização desse objetivo.
35 Cabe ao juiz nacional assegurar que disposições específicas como as referidas no n.o 31 do presente acórdão são compatíveis com o direito da União e, especialmente, com as disposições do RGPD.
36 Tendo em conta as considerações que precedem, há que responder à primeira questão que o artigo 38.o, n.o 3, segundo período, do RGPD deve ser interpretado no sentido de que não se opõe a uma regulamentação nacional que prevê que um responsável pelo tratamento ou um subcontratante só pode destituir um EPD que é um elemento do seu pessoal por um motivo grave, mesmo que a destituição não esteja relacionada com o exercício das funções desse EPD, desde que essa regulamentação não comprometa a realização dos objetivos do RGPD.
Quanto à segunda e terceira questões
37 Tendo em conta a resposta dada à primeira questão, não há que responder à segunda e terceira questões.
Quanto à quarta questão
38 Com a sua quarta questão, o órgão jurisdicional de reenvio pergunta, em substância, em que condições pode ser constatada a existência de um «conflito de interesses», na aceção do artigo 38.o, n.o 6, do RGPD.
39 No que respeita, em primeiro lugar, à redação da disposição em causa, importa salientar que, nos termos do artigo 38.o, n.o 6, segundo período, do RGPD, «[o] [EPD] pode exercer outras funções e atribuições. O responsável pelo tratamento ou o subcontratante assegura que essas funções e atribuições não resultam num conflito de interesses».
40 Assim, resulta dos termos desta disposição, primeiro, que o RGPD não estabelece uma incompatibilidade de princípio entre, por um lado, o exercício das funções de EPD e, por outro, o de outras funções junto do responsável pelo tratamento ou do seu subcontratante. Com efeito, o artigo 38.o, n.o 6, deste regulamento prevê especificamente que pode ser confiada ao EPD a execução de outras funções e atribuições além das que lhe incumbem por força do artigo 39.o do RGPD.
41 Segundo, no entanto, o responsável pelo tratamento ou o seu subcontratante deve assegurar que essas outras funções e atribuições não resultam num «conflito de interesses». Tendo em conta o significado desses termos na linguagem corrente, deve considerar‑se que, em conformidade com o objetivo prosseguido pelo artigo 38.o, n.o 6, do RGPD, não pode ser confiada ao EPD a execução de funções e atribuições que seja suscetível de prejudicar o exercício das funções que exerce enquanto EPD.
42 No que respeita a este objetivo, importa salientar, em segundo lugar, que esta disposição visa essencialmente, à semelhança das outras disposições referidas no n.o 25 do presente acórdão, preservar a independência funcional do EPD e, portanto, garantir a efetividade das disposições do RGPD.
43 Em terceiro lugar, no que respeita ao contexto em que se insere o artigo 38.o, n.o 6, do RGPD, importa salientar que, segundo o artigo 39.o, n.o 1, alínea b), do RGPD, o EPD tem a função, nomeadamente, de controlar a conformidade com o RGPD, com outras disposições de proteção de dados da União ou dos Estados‑Membros e com as políticas do responsável pelo tratamento ou do subcontratante relativas à proteção de dados pessoais, incluindo a repartição de responsabilidades, a sensibilização e formação do pessoal implicado nas operações de tratamento de dados, e as auditorias correspondentes.
44 Daqui resulta, principalmente, que não podem ser confiadas a um EPD funções ou atribuições que o levem a determinar as finalidades e os meios de tratamento de dados pessoais junto do responsável pelo tratamento ou do seu subcontratante. Com efeito, em conformidade com o direito da União ou com o direito dos Estados‑Membros em matéria de proteção de dados, o controlo dessas finalidades e meios deve ser efetuado de maneira independente pelo EPD.
45 A determinação da existência de um conflito de interesses, na aceção do artigo 38.o, n.o 6, do RGPD, deve ser efetuada casuisticamente, com base numa apreciação de todas as circunstâncias pertinentes, nomeadamente da estrutura organizacional do responsável pelo tratamento ou do seu subcontratante e à luz de toda a regulamentação aplicável, incluindo as eventuais políticas destes últimos.
46 Tendo em conta todas as considerações que precedem, há que responder à quarta questão que o artigo 38.o, n.o 6, do RGPD deve ser interpretado no sentido de que pode existir um «conflito de interesses», na aceção desta disposição, quando são confiadas a um EPD outras funções ou atribuições, que levem este último a determinar as finalidades e os meios de tratamento de dados pessoais junto do responsável pelo tratamento ou do seu subcontratante, o que cabe ao juiz nacional determinar casuisticamente, com base numa apreciação de todas as circunstâncias pertinentes, nomeadamente da estrutura organizacional do responsável pelo tratamento ou do seu subcontratante e à luz de toda a regulamentação aplicável, incluindo as eventuais políticas destes últimos.
Quanto às despesas
47 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.
Pelos fundamentos expostos, o Tribunal de Justiça (Sexta Secção) declara:
1) O artigo 38.o, n.o 3, segundo período, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), deve ser interpretado no sentido de que não se opõe a uma regulamentação nacional que prevê que um responsável pelo tratamento ou um subcontratante só pode destituir um encarregado da proteção de dados que é um elemento do seu pessoal por um motivo grave, mesmo que a destituição não esteja relacionada com o exercício das funções desse encarregado, desde que essa regulamentação não comprometa a realização dos objetivos deste regulamento.
2) O artigo 38.o, n.o 6, do Regulamento (UE) 2016/679 deve ser interpretado no sentido de que pode existir um «conflito de interesses», na aceção desta disposição, quando são confiadas a um encarregado da proteção de dados outras funções ou atribuições, que levem este último a determinar as finalidades e os meios de tratamento de dados pessoais junto do responsável pelo tratamento ou do seu subcontratante, o que cabe ao juiz nacional determinar casuisticamente, com base numa apreciação de todas as circunstâncias pertinentes, nomeadamente da estrutura organizacional do responsável pelo tratamento ou do seu subcontratante e à luz de toda a regulamentação aplicável, incluindo as eventuais políticas destes últimos.
Assinaturas