ARREST VAN HET HOF (Zesde kamer)
9 februari 2023 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 38, lid 3 – Functionaris voor gegevensbescherming – Verbod om die functionaris te ontslaan wegens de uitvoering van zijn taken – Vereiste van functionele onafhankelijkheid – Nationale regelgeving op grond waarvan het ontslag van een functionaris voor gegevensbescherming verboden is indien er geen gewichtige redenen zijn – Artikel 38, lid 6 – Belangenconflict – Criteria”
In zaak C‑453/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Bundesarbeitsgericht (hoogste federale rechter in arbeidszaken, Duitsland) bij beslissing van 27 april 2021, ingekomen bij het Hof op 21 juli 2021, in de procedure
X-FAB Dresden GmbH & Co. KG
tegen
FC,
wijst
HET HOF (Zesde kamer),
samengesteld als volgt: P. G. Xuereb, kamerpresident, A. Kumin en I. Ziemele (rapporteur), rechters,
advocaat-generaal: J. Richard de la Tour,
griffier: D. Dittert, hoofd van een administratieve eenheid,
gezien de stukken en na de terechtzitting op 26 september 2022,
gelet op de opmerkingen van:
– X-FAB Dresden GmbH & Co. KG, vertegenwoordigd door S. Leese, Rechtsanwalt,
– FC, vertegenwoordigd door R. Buschmann en T. Heller, Prozessbevollmächtigte,
– de Duitse regering, vertegenwoordigd door J. Möller, D. Klebs en P.‑L. Krüger als gemachtigden,
– het Europees Parlement, vertegenwoordigd door O. Hrstková Šolcová en B. Schäfer als gemachtigden,
– de Raad van de Europese Unie, vertegenwoordigd door T. Haas en K. Pleśniak als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, K. Herrmann en H. Kranenborg als gemachtigden,
gelet op de beslissing, de advocaat-generaal gehoord, om de zaak zonder conclusie te berechten,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing heeft betrekking op de uitlegging en de geldigheid van artikel 38, lid 3, tweede volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”), alsmede op de uitlegging van artikel 38, lid 6, van die verordening.
2 Dit verzoek is ingediend in het kader van een geding tussen X-FAB Dresden GmbH & Co. KG (hierna: „X-FAB”) en haar werknemer FC over het ontslag door X-FAB van FC als functionaris voor gegevensbescherming (hierna: „DPO”).
Toepasselijke bepalingen
Unierecht
3 De overwegingen 10 en 97 AVG luiden:
„(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. […]
[…]
(97) […] Dergelijke [DPO’s] dienen in staat te zijn hun taken en verplichtingen onafhankelijk te vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke.”
4 Artikel 37 AVG, met als opschrift „Aanwijzing van de [DPO]”, bepaalt in de leden 5 en 6:
„5. De [DPO] wordt aangewezen op grond van zijn professionele kwaliteiten en, in het bijzonder, zijn deskundigheid op het gebied van de wetgeving en de praktijk inzake gegevensbescherming en zijn vermogen de in artikel 39 bedoelde taken te vervullen.
6. De [DPO] kan een personeelslid van de verwerkingsverantwoordelijke of de verwerker zijn, of kan de taken op grond van een dienstverleningsovereenkomst verrichten.”
5 Artikel 38 AVG, met als opschrift „Positie van de [DPO]”, bepaalt in de leden 3, 5 en 6:
„3. De verwerkingsverantwoordelijke en de verwerker zorgen ervoor dat de [DPO] geen instructies ontvangt met betrekking tot de uitvoering van die taken. Hij wordt door de verwerkingsverantwoordelijke of de verwerker niet ontslagen of gestraft voor de uitvoering van zijn taken. De [DPO] brengt rechtstreeks verslag uit aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker.
[…]
5. De [DPO] is met betrekking tot de uitvoering van zijn taken overeenkomstig het Unierecht of het lidstatelijke recht tot geheimhouding of vertrouwelijkheid gehouden.
6. De [DPO] kan andere taken en plichten vervullen. De verwerkingsverantwoordelijke of de verwerker zorgt ervoor dat deze taken of plichten niet tot een belangenconflict leiden.”
6 Artikel 39 AVG, met als opschrift „Taken van de [DPO]”, luidt:
„1. „De [DPO] vervult ten minste de volgende taken:
a) de verwerkingsverantwoordelijke of de verwerker en de werknemers die verwerken, informeren en adviseren over hun verplichtingen uit hoofde van deze verordening en andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen;
b) toezien op naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;
c) desgevraagd advies verstrekken met betrekking tot de gegevensbeschermingseffect-beoordeling en toezien op de uitvoering daarvan in overeenstemming met artikel 35;
d) met de toezichthoudende autoriteit samenwerken;
e) optreden als contactpunt voor de toezichthoudende autoriteit inzake met verwerking verband houdende aangelegenheden, met inbegrip van de in artikel 36 bedoelde voorafgaande raadpleging, en, waar passend, overleg plegen over enige andere aangelegenheid.
2. De [DPO] houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden.”
Duits recht
BDSG
7 § 6 van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 20 december 1990 (BGBl. 1990 I, blz. 2954), in de versie die van kracht was van 25 mei 2018 tot en met 25 november 2019 (BGBl. 2017 I, blz. 2097) (hierna: „BDSG”), heeft als opschrift „Positie” en bepaalt in lid 4 het volgende:
„De [DPO] mag uitsluitend worden ontslagen met overeenkomstige toepassing van § 626 van het Bürgerliche Gesetzbuch [(burgerlijk wetboek), in de op 2 januari 2002 bekendgemaakte versie (BGBl. 2002 I, blz. 42, met rectificaties in BGBl. 2002 I, blz. 2909, en BGBl. 2003 I, blz. 738)]. Beëindiging van de arbeidsverhouding is niet toegestaan, tenzij er sprake is van feiten die het overheidsorgaan het recht geven de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn. Het is niet toegestaan om de arbeidsverhouding binnen een jaar na afloop van de activiteiten als [DPO] te beëindigen, tenzij het overheidsorgaan het recht heeft de arbeidsverhouding om gewichtige redenen te beëindigen zonder inachtneming van een opzeggingstermijn.”
8 § 38 BDSG, met als opschrift „[DPO’s] van niet-overheidsinstanties”, bepaalt:
„(1) In aanvulling op § 37, lid 1, onder b) en c), [AVG] wijzen de verwerkingsverantwoordelijke en de verwerker een [DPO] aan indien zij in de regel ten minste tien personen in dienst hebben die zich doorlopend bezighouden met de geautomatiseerde verwerking van persoonsgegevens. […]
(2) § 6, lid 4, lid 5, tweede volzin, en lid 6, is van toepassing, met dien verstande dat § 6, lid 4, slechts van toepassing is wanneer de aanwijzing van een [DPO] verplicht is.”
Burgerlijk wetboek
9 § 626 van het burgerlijk wetboek, met als opschrift „Opzegging om gewichtige redenen zonder inachtneming van een opzeggingstermijn”, luidt:
„(1) Elk van de contractpartijen kan de arbeidsverhouding om gewichtige redenen zonder inachtneming van een opzeggingstermijn beëindigen indien er sprake is van feiten die met zich brengen dat redelijkerwijs niet van de opzeggende partij kan worden verwacht dat zij de arbeidsverhouding, rekening houdend met alle omstandigheden van het concrete geval en na afweging van de belangen van beide contractpartijen, voortzet totdat de opzeggingstermijn verstrijkt of de arbeidsverhouding eindigt op het overeengekomen tijdstip.
(2) Beëindiging is enkel mogelijk binnen twee weken. Deze termijn begint te lopen vanaf het tijdstip waarop de partij die het recht heeft om de overeenkomst te beëindigen, kennis krijgt van de voor de beëindiging relevante feiten. […]”
Hoofdgeding en prejudiciële vragen
10 FC is sinds 1 november 1993 in dienst bij X-FAB.
11 Hij oefent in deze onderneming de functie van voorzitter van de ondernemingsraad uit en is bijgevolg gedeeltelijk vrijgesteld van het werk. Daarnaast bekleedt hij de functie van vicevoorzitter van de centrale ondernemingsraad die is opgericht voor drie in Duitsland gevestigde ondernemingen van de groep ondernemingen waartoe X-FAB behoort.
12 Met ingang van 1 juni 2015 is FC door X-FAB, haar moedermaatschappij en de overige in Duitsland gevestigde dochterondernemingen telkens afzonderlijk aangewezen als DPO. Volgens de verwijzende rechter had deze parallelle aanwijzing van FC als DPO van al deze ondernemingen tot doel een uniforme standaard voor de gegevensbescherming in die ondernemingen tot stand te brengen.
13 Op initiatief van de gevolmachtigde van de deelstaat Thüringen (Duitsland) voor gegevensbescherming en informatievrijheid hebben X-FAB en de in punt 12 van dit arrest genoemde ondernemingen FC bij brieven van 1 december 2017 met onmiddellijke ingang ontslagen als DPO. Bij afzonderlijke brieven van 25 mei 2018 hebben deze ondernemingen deze stap uit voorzorg herhaald op grond van het inmiddels van toepassing geworden artikel 38, lid 3, tweede volzin, AVG, waarbij zij verwezen naar redenen die verband hielden met de groep ondernemingen waartoe X-FAB behoort.
14 De door FC bij de Duitse rechterlijke instanties ingestelde vordering strekt ertoe te doen vaststellen dat hij nog steeds DPO is bij X-FAB. Deze onderneming stelt op haar beurt dat er belangenconflicten dreigen te ontstaan indien FC tegelijkertijd DPO en voorzitter van de ondernemingsraad is, omdat deze twee functies onverenigbaar zijn. Derhalve bestaat er volgens haar een gewichtige reden die rechtvaardigt dat FC wordt ontslagen als DPO.
15 De rechters in eerste aanleg en in hoger beroep hebben de door FC ingestelde vordering toegewezen. Het door X-FAB bij het Bundesarbeitsgericht (hoogste federale rechter in arbeidszaken, Duitsland), de verwijzende rechter, ingestelde beroep in Revision strekt tot afwijzing van die vordering.
16 De verwijzende rechter merkt op dat de uitkomst van dat beroep afhangt van de uitlegging van het Unierecht. Met name rijst de vraag of artikel 38, lid 3, tweede volzin, AVG zich verzet tegen een regeling van een lidstaat die het ontslag van een DPO afhankelijk stelt van strengere voorwaarden dan die welke voortvloeien uit het Unierecht, en – zo ja – of deze bepaling berust op een toereikende rechtsgrondslag. Indien het Hof van oordeel is dat de in het BDSG neergelegde ontslagvereisten in overeenstemming zijn met het Unierecht, dient te worden vastgesteld of de functies van voorzitter van de ondernemingsraad en DPO van dezelfde onderneming mogen worden uitgeoefend door een en dezelfde persoon, dan wel of dit leidt tot een belangenconflict in de zin van artikel 38, lid 6, tweede volzin, AVG.
17 In deze omstandigheden heeft het Bundesarbeitsgericht de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moet artikel 38, lid 3, tweede volzin, [AVG] aldus worden uitgelegd dat het in de weg staat aan een bepaling van nationaal recht als § 38, leden 1 en 2, juncto § 6, lid 4, eerste volzin, [BDSG] op grond waarvan aan het ontslag van de [DPO] door de verwerkingsverantwoordelijke, die zijn werkgever is, de in die bepaling genoemde voorwaarden worden gesteld, ongeacht of dat ontslag verband houdt met de uitvoering van zijn taken?
Ingeval de eerste vraag bevestigend wordt beantwoord:
2) Verzet artikel 38, lid 3, tweede volzin, AVG zich ook tegen een dergelijke bepaling van nationaal recht wanneer de aanstelling van de [DPO] niet verplicht is krachtens artikel 37, lid 1, AVG, maar uitsluitend krachtens het recht van de lidstaat?
Ingeval de eerste vraag bevestigend wordt beantwoord:
3) Berust artikel 38, lid 3, tweede volzin, AVG op een toereikende rechtsgrondslag, met name voor zover het betrekking heeft op [DPO’s] die een arbeidsverhouding met de verwerkingsverantwoordelijke hebben?
Indien de eerste vraag ontkennend wordt beantwoord:
4) Is er sprake van een belangenconflict in de zin van artikel 38, lid 6, tweede volzin, AVG wanneer de [DPO] tegelijkertijd voorzitter van de ondernemingsraad van de verwerkingsverantwoordelijke is? Is er van een dergelijk belangenconflict slechts sprake in geval van een specifieke taakverdeling binnen de ondernemingsraad?”
Beantwoording van de prejudiciële vragen
Eerste prejudiciële vraag
18 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling op grond waarvan een verwerkingsverantwoordelijke of een verwerker een DPO die bij hem in dienst is, alleen kan ontslaan om een gewichtige reden, ook al houdt het ontslag geen verband met de uitvoering van de taken van de betrokken DPO.
19 Volgens vaste rechtspraak moet bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening worden gehouden met de in de omgangstaal gebruikelijke betekenis van de bewoordingen van de bepaling in kwestie, maar ook met de context van deze bepaling en met de doelstellingen die worden nagestreefd met de regeling waarvan zij deel uitmaakt (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 18 en aldaar aangehaalde rechtspraak).
20 Wat in de eerste plaats de bewoordingen van de bepaling in kwestie betreft, zij opgemerkt dat artikel 38, lid 3, tweede volzin, AVG bepaalt dat „[de DPO] door de verwerkingsverantwoordelijke of de verwerker niet [wordt] ontslagen of gestraft voor de uitvoering van zijn taken”.
21 In dit verband heeft het Hof in het arrest van 22 juni 2022, Leistritz (C‑534/20, EU:C:2022:495, punten 20 en 21), na te hebben vastgesteld dat de AVG geen definitie geeft van de in artikel 38, lid 3, tweede volzin, gebezigde begrippen „ontslagen”, „gestraft” en „voor de uitvoering van zijn taken”, ten eerste benadrukt dat het verbod voor de verwerkingsverantwoordelijke of verwerker om een DPO te ontslaan of te straffen volgens de betekenis van die begrippen in de omgangstaal impliceert dat de betrokken DPO moet worden beschermd tegen elke beslissing waarbij aan zijn functie een einde wordt gemaakt, hem nadeel wordt toegebracht of hem een sanctie wordt opgelegd.
22 Een dergelijke beslissing kan bestaan in de beslissing om een DPO te ontslaan die wordt genomen door zijn werkgever en die tot gevolg heeft dat de DPO van zijn taken bij de verwerkingsverantwoordelijke of verwerker wordt ontheven.
23 Ten tweede is artikel 38, lid 3, tweede volzin, AVG – zoals het Hof eveneens heeft opgemerkt – zonder onderscheid van toepassing op zowel een DPO die een personeelslid van de verwerkingsverantwoordelijke of verwerker is, als een DPO die zijn taken overeenkomstig artikel 37, lid 6, AVG verricht op grond van een met hen gesloten dienstverleningsovereenkomst, zodat artikel 38, lid 3, tweede volzin, op de verhouding tussen een DPO en een verwerkingsverantwoordelijke of verwerker van toepassing is ongeacht de aard van de tussen hen bestaande arbeidsverhouding (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punten 23 en 24).
24 Ten derde wordt in laatstgenoemde bepaling een beperking vastgesteld die erin bestaat dat een DPO niet mag worden ontslagen om een reden die verband houdt met de uitvoering van zijn taken, die volgens artikel 39, lid 1, onder b), AVG met name bestaan in het toezien op de naleving van de Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens (zie in die zin arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 25).
25 In de tweede plaats staat met betrekking tot de doelstelling van artikel 38, lid 3, tweede volzin, AVG in overweging 97 van deze verordening om te beginnen te lezen dat DPO’s hun taken en verplichtingen onafhankelijk moeten kunnen vervullen, ongeacht of zij in dienst zijn van de verwerkingsverantwoordelijke. Die onafhankelijkheid moet hen noodzakelijkerwijs in staat stellen om hun taken te vervullen in overeenstemming met de doelstelling van de AVG, die er – zoals uit overweging 10 van deze verordening blijkt – met name in bestaat een consistent en hoog niveau van bescherming van natuurlijke personen binnen de Unie te waarborgen en te dien einde te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 26 en aldaar aangehaalde rechtspraak).
26 Daarnaast komt de uit artikel 38, lid 3, tweede volzin, AVG, voortvloeiende doelstelling om de functionele onafhankelijkheid van de DPO te waarborgen ook tot uiting in de eerste en de derde volzin van datzelfde lid. Daarin is namelijk bepaald dat de DPO geen instructies mag ontvangen met betrekking tot de uitvoering van zijn taken en rechtstreeks verslag moet uitbrengen aan het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke of de verwerker. Deze doelstelling komt ook tot uiting in artikel 38, lid 5, AVG, dat bepaalt dat de DPO tot geheimhouding of vertrouwelijkheid is gehouden met betrekking tot de uitvoering van die taken (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 27).
27 Artikel 38, lid 3, tweede volzin, AVG – dat de DPO beschermt tegen elke beslissing waarbij in verband met de uitvoering van zijn taken een einde wordt gemaakt aan zijn positie, hem een nadeel wordt toegebracht of hem een sanctie wordt opgelegd – moet dan ook worden geacht hoofdzakelijk tot doel te hebben de functionele onafhankelijkheid van de DPO te vrijwaren en dus de doeltreffendheid van de bepalingen van de AVG te waarborgen (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 28).
28 Zoals het Hof eveneens heeft geoordeeld, wordt deze uitlegging – in de derde plaats – bevestigd door de context van deze bepaling en in het bijzonder door de rechtsgrond waarop de Uniewetgever de AVG heeft vastgesteld (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 29).
29 Volgens de preambule van de AVG is deze verordening namelijk vastgesteld op grond van artikel 16 VWEU, waarvan lid 2 bepaalt dat het Europees Parlement en de Raad van de Europese Unie volgens de gewone wetgevingsprocedure de voorschriften vaststellen betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie, alsook door de lidstaten, bij de uitoefening van activiteiten die binnen de werkingssfeer van het Unierecht vallen, alsmede de voorschriften betreffende het vrije verkeer van die gegevens (arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 30).
30 In dit verband is de vaststelling van voorschriften die betrekking hebben op de ontslagbescherming van een DPO die in dienst is bij een verwerkingsverantwoordelijke of verwerker, geen kwestie van bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens, tenzij die voorschriften tot doel hebben de functionele onafhankelijkheid van de DPO te vrijwaren overeenkomstig artikel 38, lid 3, tweede volzin, AVG (zie in die zin arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 31).
31 Hieruit volgt dat elke lidstaat vrij is om in de uitoefening van de bevoegdheid die hij heeft behouden, specifieke bepalingen vast te stellen die op het gebied van ontslag van de DPO een grotere bescherming bieden, mits deze bepalingen verenigbaar zijn met het Unierecht en in het bijzonder met de AVG, meer bepaald artikel 38, lid 3, tweede volzin, ervan (zie in die zin arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 34).
32 Een dergelijke verhoogde bescherming mag met name de verwezenlijking van de doelstellingen van de AVG niet ondermijnen. Dat zou echter het geval zijn indien zij er zonder uitzondering aan in de weg zou staan dat een verwerkingsverantwoordelijke of verwerker een DPO ontslaat die niet langer overeenkomstig artikel 37, lid 5, AVG beschikt over de voor de uitvoering van zijn taken noodzakelijke professionele kwaliteiten of die zijn taken niet overeenkomstig de AVG uitvoert (zie in die zin arrest van 22 juni 2022, Leistritz, C‑534/20, EU:C:2022:495, punt 35).
33 In dit verband zij eraan herinnerd dat de AVG – zoals in punt 25 van het onderhavige arrest is opgemerkt – een hoog niveau van bescherming van natuurlijke personen binnen de Unie beoogt te waarborgen in verband met de verwerking van hun persoonsgegevens, en dat de DPO voor de verwezenlijking van deze doelstelling in staat moet zijn om zijn taken en verplichtingen onafhankelijk te vervullen.
34 Een verhoogde bescherming van de DPO zou de verwezenlijking van deze doelstelling dus in gevaar brengen indien zij er zonder uitzondering aan in de weg zou staan dat de DPO wordt ontslagen wanneer hij zijn taken niet of niet langer onafhankelijk kan vervullen wegens het bestaan van een belangenconflict.
35 Het staat aan de nationale rechter om na te gaan of specifieke bepalingen als bedoeld in punt 31 van het onderhavige arrest verenigbaar zijn met het Unierecht en in het bijzonder met de bepalingen van de AVG.
36 Gelet op het voorgaande dient op de eerste vraag te worden geantwoord dat artikel 38, lid 3, tweede volzin, AVG aldus moet worden uitgelegd dat het zich niet verzet tegen een nationale regeling op grond waarvan een verwerkingsverantwoordelijke of een verwerker een DPO die bij hem in dienst is, alleen kan ontslaan om een gewichtige reden, ook al houdt het ontslag geen verband met de uitvoering van de taken van de betrokken DPO, mits die regeling de verwezenlijking van de doelstellingen van de AVG niet ondermijnt.
Tweede en derde prejudiciële vraag
37 Gelet op het antwoord op de eerste prejudiciële vraag hoeven de tweede en de derde prejudiciële vraag niet te worden beantwoord.
Vierde prejudiciële vraag
38 Met zijn vierde vraag wenst de verwijzende rechter in wezen te vernemen onder welke voorwaarden kan worden vastgesteld dat er sprake is van een „belangenconflict” in de zin van artikel 38, lid 6, AVG.
39 Wat in de eerste plaats de bewoordingen van de bepaling in kwestie betreft, zij opgemerkt dat artikel 38, lid 6, tweede volzin, AVG bepaalt dat „[de DPO] andere taken en plichten [kan] vervullen” en dat „[d]e verwerkingsverantwoordelijke of de verwerker […] ervoor [moet zorgen] dat deze taken of plichten niet tot een belangenconflict leiden”.
40 Uit de bewoordingen van deze bepaling volgt dus – ten eerste – dat er volgens de AVG geen principiële onverenigbaarheid bestaat tussen de uitoefening van de functie van DPO en de uitoefening van andere functies bij de verwerkingsverantwoordelijke of zijn verwerker. Artikel 38, lid 6, van deze verordening bepaalt immers uitdrukkelijk dat aan de DPO andere taken en plichten kunnen worden toevertrouwd dan die welke krachtens artikel 39 AVG op hem rusten.
41 Dit neemt echter – ten tweede – niet weg dat de verwerkingsverantwoordelijke of zijn verwerker ervoor moet zorgen dat die andere taken en plichten niet tot een „belangenconflict” leiden. Gelet op de betekenis van deze woorden in de omgangstaal moet worden geoordeeld dat – overeenkomstig de doelstelling van artikel 38, lid 6, AVG – geen taken of plichten aan de DPO kunnen worden toevertrouwd die de uitvoering van zijn taken als DPO zouden kunnen belemmeren.
42 Wat deze doelstelling betreft, moet in de tweede plaats worden opgemerkt dat deze bepaling – net zoals de overige in punt 25 van dit arrest genoemde bepalingen – in wezen tot doel heeft de functionele onafhankelijkheid van de DPO te vrijwaren en aldus de doeltreffendheid van de bepalingen van de AVG te waarborgen.
43 Wat in de derde plaats de context van artikel 38, lid 6, AVG betreft, moet worden opgemerkt dat de DPO volgens artikel 39, lid 1, onder b), AVG met name tot taak heeft toezicht te houden op de naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, daaronder begrepen de toewijzing van verantwoordelijkheden, de bewustmaking en de opleiding van het bij de verwerking betrokken personeel en de betreffende audits.
44 Daaruit volgt in het bijzonder dat aan een DPO geen taken of plichten kunnen worden toevertrouwd die hem ertoe zouden brengen de doeleinden van en de middelen voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke of zijn verwerker vast te stellen. Overeenkomstig het Unierecht of het recht van de lidstaten inzake gegevensbescherming moet de DPO het toezicht op deze doeleinden en middelen immers onafhankelijk verrichten.
45 Of er een belangenconflict in de zin van artikel 38, lid 6, AVG bestaat, moet van geval tot geval worden nagegaan op basis van een beoordeling van alle relevante omstandigheden, met name de organisatiestructuur van de verwerkingsverantwoordelijke of zijn verwerker, en in het licht van de toepasselijke regeling in haar geheel, daaronder begrepen het eventuele beleid van de verwerkingsverantwoordelijke of zijn verwerker.
46 Gelet op een en ander moet op de vierde prejudiciële vraag worden geantwoord dat artikel 38, lid 6, AVG aldus moet worden uitgelegd dat er van een „belangenconflict” in de zin van die bepaling sprake kan zijn wanneer aan een DPO andere taken of plichten worden toevertrouwd die hem ertoe zouden brengen de doeleinden van en de middelen voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke of zijn verwerker vast te stellen. Het staat aan de nationale rechter om van geval tot geval na te gaan of dat zo is, op basis van een beoordeling van alle relevante omstandigheden, met name de organisatiestructuur van de verwerkingsverantwoordelijke of zijn verwerker, en in het licht van de toepasselijke regeling in haar geheel, daaronder begrepen het eventuele beleid van de verwerkingsverantwoordelijke of zijn verwerker.
Kosten
47 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Zesde kamer) verklaart voor recht:
1) Artikel 38, lid 3, tweede volzin, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat het zich niet verzet tegen een nationale regeling op grond waarvan een verwerkingsverantwoordelijke of een verwerker een functionaris voor gegevensbescherming die bij hem in dienst is, alleen kan ontslaan om een gewichtige reden, ook al houdt het ontslag geen verband met de uitvoering van de taken van de betrokken functionaris, mits die regeling de verwezenlijking van de doelstellingen van deze verordening niet ondermijnt.
2) Artikel 38, lid 6, van verordening 2016/679 moet aldus worden uitgelegd dat er van een „belangenconflict” in de zin van die bepaling sprake kan zijn wanneer aan een functionaris voor gegevensbescherming andere taken of plichten worden toevertrouwd die hem ertoe zouden brengen de doeleinden van en de middelen voor de verwerking van persoonsgegevens bij de verwerkingsverantwoordelijke of zijn verwerker vast te stellen. Het staat aan de nationale rechter om van geval tot geval na te gaan of dit zo is, op basis van een beoordeling van alle relevante omstandigheden, met name de organisatiestructuur van de verwerkingsverantwoordelijke of zijn verwerker, en in het licht van de toepasselijke regeling in haar geheel, daaronder begrepen het eventuele beleid van de verwerkingsverantwoordelijke of zijn verwerker.
ondertekeningen