UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)
22 päivänä kesäkuuta 2022 (*)
Ennakkoratkaisupyyntö – Yksilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 38 artiklan 3 kohdan toinen virke – Tietosuojavastaava – Rekisterinpitäjää tai henkilötietojen käsittelijää koskeva kielto erottaa tietosuojavastaava tai rangaista häntä sen vuoksi, että hän on hoitanut tehtäviään – Oikeusperusta – SEUT 16 artikla – Toiminnallista riippumattomuutta koskeva vaatimus – Kansallinen lainsäädäntö, jossa kielletään tietosuojavastaavan irtisanominen, jollei siihen ole painavaa syytä
Asiassa C-534/20,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Bundesarbeitsgericht (liittovaltion ylin työtuomioistuin, Saksa) on esittänyt 30.7.2020 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 21.10.2020, saadakseen ennakkoratkaisun asiassa
Leistritz AG
vastaan
LH,
UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),
toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev sekä tuomarit I. Ziemele (esittelevä tuomari) ja P. G. Xuereb,
julkisasiamies: J. Richard de la Tour,
kirjaaja: yksikönpäällikkö D. Dittert,
ottaen huomioon kirjallisessa käsittelyssä ja 18.11.2021 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– Leistritz AG, edustajinaan O. Seeling ja C. Wencker, Rechtsanwälte,
– LH, edustajanaan S. Lohneis, Rechtsanwalt,
– Saksan hallitus, asiamiehinään J. Möller ja S. K. Costanzo,
– Romanian hallitus, asiamiehenään E. Gane,
– Euroopan parlamentti, asiamiehinään O. Hrstková Šolcová, P. López-Carceller ja B. Schäfer,
– Euroopan unionin neuvosto, asiamiehinään T. Haas ja K. Pleśniak,
– Euroopan komissio, asiamiehinään K. Herrmann, H. Kranenborg ja D. Nardi,
kuultuaan julkisasiamiehen 27.1.2022 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus) 38 artiklan 3 kohdan toisen virkkeen tulkintaa ja pätevyyttä.
2 Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat Leistritz AG ja LH, joka hoiti tietosuojavastaavan tehtäviä mainitussa yhtiössä, ja joka koskee LH:n työsopimuksen päättämistä, jota perusteltiin mainitun yhtiön yksiköiden uudelleenjärjestelyllä.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Yleisen tietosuoja-asetuksen johdanto-osan 10 ja 97 perustelukappaleessa todetaan seuraavaa:
”(10) Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –
– –
(97) – – tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei.”
4 Yleisen tietosuoja-asetuksen 37 artiklassa, jonka otsikko on ”Tietosuojavastaavan nimittäminen”, säädetään seuraavaa:
”1. Rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava aina kun
a) tietojenkäsittelyä suorittaa jokin muu viranomainen tai julkishallinnon elin kuin lainkäyttötehtäviään hoitava tuomioistuin;
b) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat käsittelytoimista, jotka luonteensa, laajuutensa ja/tai tarkoitustensa vuoksi edellyttävät laajamittaista rekisteröityjen säännöllistä ja järjestelmällistä seurantaa; tai
c) rekisterinpitäjän tai henkilötietojen käsittelijän ydintehtävät muodostuvat laajamittaisesta käsittelystä, joka kohdistuu 9 artiklan mukaisiin erityisiin henkilötietoryhmiin tai 10 artiklassa tarkoitettuihin rikostuomioihin tai rikoksiin liittyviin henkilötietoihin.
– –
6. Tietosuojavastaava voi olla rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen tai tietosuojavastaava voi hoitaa tehtäviään palvelusopimuksen perusteella.
– –”
5 Yleisen tietosuoja-asetuksen 38 artiklan, jonka otsikko on ”Tietosuojavastaavan asema”, 3 ja 5 kohdassa säädetään seuraavaa:
”3. Rekisterinpitäjän ja henkilötietojen käsittelijän on varmistettava, ettei tietosuojavastaava ota vastaan ohjeita näiden tehtävien hoitamisen yhteydessä. Rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään. Tietosuojavastaava raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle.
– –
5. Tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.”
6 Yleisen tietosuoja-asetuksen 39 artiklan, jonka otsikko on ”Tietosuojavastaavan tehtävät”, 1 kohdan b alakohdassa säädetään seuraavaa:
”Tietosuojavastaavalla on oltava ainakin seuraavat tehtävät:
– –
b) seurata, että noudatetaan tätä asetusta, muita unionin tai jäsenvaltion tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan, mukaan lukien vastuunjako, tiedon lisääminen ja käsittelyyn osallistuvan henkilöstön koulutus ja tähän liittyvät tarkastukset;
– –”
Saksan lainsäädäntö
7 Bundesdatenschutzgesetzin (liittovaltion tietosuojalaki), joka on annettu 20.12.1990 (BGBl. 1990 I, s. 2954), sellaisena kuin se oli voimassa 25.5.2018–25.11.2019 (BGBl. 2017 I, s. 2097; jäljempänä BDSG), 6 §:n, jonka otsikko on ”Asema”, 4 momentissa säädetään seuraavaa:
”Tietosuojavastaavan erottaminen on sallittua ainoastaan soveltaen vastaavasti siviililain [Bürgerliches Gesetzbuch, sellaisena kuin se on julkaistu 2.1.2002 (BGBl. 2002 I, s. 42, ja oikaisut BGBl. 2002 I, s. 2909, ja BGBl. 2003 I, s. 738)] 626 §:ää. Työsuhteen irtisanominen on kiellettyä, ellei ole olemassa tosiseikkoja, jotka oikeuttavat julkishallinnon elimen irtisanomaan painavasta syystä ilman irtisanomisaikaa. Työsuhteen irtisanominen vuoden kuluessa siitä, kun työskentely tietosuojavastaavana on päättynyt, on kiellettyä, ellei julkishallinnon elin ole oikeutettu irtisanomaan painavasta syystä ilman irtisanomisaikaa.”
8 BDSG:n 38 §:ssä, jonka otsikko on ”Muiden kuin julkisten elinten tietosuojavastaavat”, säädetään seuraavaa:
”(1) [Yleisen tietosuoja-asetuksen] 37 artiklan 1 kohdan b ja c alakohtaa täydentäen säädetään, että rekisterinpitäjän ja henkilötietojen käsittelijän on nimitettävä tietosuojavastaava, mikäli niiden palveluksessa työskentelee pääsääntöisesti vähintään kymmenen henkilöä jatkuvasti henkilötietojen automaattisen käsittelyn parissa. – –
(2) Edellä olevia 6 §:n 4 momenttia, 5 momentin toista virkettä ja 6 momenttia sovelletaan, 6 §:n 4 momenttia kuitenkin vain, jos tietosuojavaltuutetun nimittäminen on pakollista.”
9 Siviililain, sellaisena kuin se on julkaistu 2.1.2002 (jäljempänä siviililaki), 134 §:ssä, jonka otsikko on ”Lakisääteinen kielto”, säädetään seuraavaa:
”Lakisääteisen kiellon vastainen oikeustoimi on pätemätön, jollei laista muuta johdu.”
10 Siviililain 626 §:ssä, jonka otsikko on ”Irtisanominen ilman irtisanomisaikaa painavasta syystä”, säädetään seuraavaa:
”(1) Kumpikin sopimuspuoli voi irtisanoa työsuhteen painavasta syystä ilman irtisanomisaikaa, jos on olemassa tosiseikkoja, joiden vuoksi irtisanovan sopimuspuolen ei voida edellyttää jatkavan työsuhdetta irtisanomisajan päättymiseen tai työsuhteen sovittuun päättymisajankohtaan saakka, kun otetaan huomioon kaikki kyseisen tapauksen olosuhteet ja punnitaan molempien sopimuspuolten etuja.
(2) Irtisanominen voi tapahtua vain kahden viikon kuluessa. Määräaika alkaa ajankohdasta, jona irtisanomiseen oikeutettu saa tiedon irtisanomisen kannalta merkityksellisistä tosiseikoista. – –”
Pääasia ja ennakkoratkaisukysymykset
11 Leistritz on yksityisoikeudellinen yhtiö, joka on Saksan lainsäädännön mukaan velvollinen nimittämään tietosuojavastaavan. LH toimi kyseisessä yhtiössä oikeudellisen yksikön tiiminvetäjänä 15.1.2018 alkaen ja tietosuojavastaavana 1.2.2018 alkaen.
12 Leistritz irtisanoi LH:n 13.7.2018 päivätyllä kirjeellä irtisanomisaikaa noudattaen, niin että irtisanominen tuli voimaan 15.8.2018, ja se perusteli irtisanomista kyseisen yhtiön uudelleenjärjestelyllä, jonka yhteydessä sisäinen oikeudellinen neuvontatoiminta ja tietosuojapalvelu ulkoistettiin.
13 Asiakysymystä käsitelleet tuomioistuimet, joissa LH oli riitauttanut irtisanomisensa pätevyyden, katsoivat irtisanomisen pätemättömäksi, sillä kun BDSG:n 38 §:n 2 momentti ja 6 §:n 4 momentin toinen virke luetaan yhdessä, niiden mukaan LH voitiin tietosuojavastaavan asemansa vuoksi irtisanoa ilman irtisanomisaikaa vain painavasta syystä. Leistritzin kuvailema uudelleenjärjestelytoimenpide ei kuitenkaan ole tällainen peruste.
14 Ennakkoratkaisua pyytänyt tuomioistuin, jonka käsiteltäväksi Leistritz on saattanut Revision-valituksen, toteaa, että Saksan lainsäädännön nojalla LH:n irtisanominen on edellä mainittujen säännösten ja siviililain 134 §:n perusteella pätemätön. Se toteaa kuitenkin, että BDSG:n 38 §:n 2 momentin ja 6 §:n 4 momentin toisen virkkeen sovellettavuus riippuu siitä, sallitaanko unionin oikeudessa ja erityisesti yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisessa virkkeessä jäsenvaltion lainsäädäntö, jossa asetetaan tietosuojavastaavan irtisanomiselle edellytyksiä, jotka ovat tiukempia kuin unionin oikeudessa säädetyt. Jos näin ei ole, sen on hyväksyttävä Revision-valitus.
15 Ennakkoratkaisua pyytänyt tuomioistuin täsmentää, että sillä on epäilyjä erityisesti kansallisessa oikeuskirjallisuudessa vallitsevan eroavaisuuden vuoksi. Yhtäältä enemmistön mielipiteenä on, että BDSG:n 38 §:n 2 momentissa ja 6 §:n 4 momentin toisessa virkkeessä niitä yhdessä luettuina säädetty erityinen irtisanomissuoja on työoikeuden aineellisoikeudellinen sääntö, johon nähden unionilla ei ole lainsäädäntövaltaa, joten kyseiset säännökset eivät ole yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisen virkkeen vastaisia. Toisaalta vähemmistön mielipiteen mukaan tämän suojan ja tietosuojavastaavan aseman sitominen toisiinsa on ristiriidassa unionin oikeuden kanssa ja aiheuttaa taloudellista painetta pysyttää tietosuojavastaava toimessaan sen jälkeen, kun hänet on kerran nimitetty.
16 Tässä tilanteessa Bundesarbeitsgericht on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:
”1) Onko [yleisen tietosuoja-asetuksen] 38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä käsiteltävässä asiassa kyseessä olevan [BDSG:n] 38 §:n 1 ja 2 momentin, luettuina yhdessä 6 §:n 4 momentin toisen virkkeen kanssa, kaltaisille kansallisille säännöksille, joiden mukaan se, että rekisterinpitäjä, joka on tietosuojavastaavan työnantaja, irtisanoo tietosuojavastaavan työsuhteen irtisanomisaikaa noudattaen, on kiellettyä riippumatta siitä, tapahtuuko irtisanominen sen vuoksi, että tietosuojavastaava on hoitanut tehtäviään?
2) Jos ensimmäiseen kysymykseen vastataan myöntävästi:
Onko yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toinen virke esteenä tällaisille kansallisille säännöksille myös silloin, kun tietosuojavastaavan nimittäminen ei ole pakollista yleisen tietosuoja-asetuksen 37 artiklan 1 kohdan vaan ainoastaan jäsenvaltion lainsäädännön nojalla?
3) Jos ensimmäiseen kysymykseen vastataan myöntävästi:
Perustuuko yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toinen virke riittävään toimivaltaperustaan, etenkin siltä osin kuin se käsittää tietosuojavastaavat, jotka ovat työsuhteessa rekisterinpitäjään?”
Ennakkoratkaisukysymysten tarkastelu
Ensimmäinen kysymys
17 Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toista virkettä tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi irtisanoa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka irtisanominen ei liity hänen tehtäviensä hoitamiseen.
18 Kuten vakiintuneesta oikeuskäytännöstä ilmenee, unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto sen tavanomaisen merkityksen mukaan, joka sillä on yleiskielessä, myös sen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös tai määräys on (tuomio 22.2.2022, Stichting Rookpreventie Jeugd ym., C-160/20, EU:C:2022:101, 29 kohta oikeuskäytäntöviittauksineen).
19 Ensinnäkin kyseessä olevan säännöksen sanamuodosta on muistutettava, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisessa virkkeessä säädetään, että ”rekisterinpitäjä tai henkilötietojen käsittelijä ei saa erottaa tai rangaista tietosuojavastaavaa sen vuoksi, että hän on hoitanut tehtäviään”.
20 Aluksi on todettava, että yleisessä tietosuoja-asetuksessa ei määritellä 38 artiklan 3 kohdan toisessa virkkeessä olevia ilmaisuja ”erottaa”, ”rangaista” ja ”hoitanut tehtäviään”.
21 Ensinnäkin on todettava, että näiden termien yleiskielessä olevan merkityksen mukaan rekisterinpitäjää tai henkilötietojen käsittelijää koskeva kielto erottaa tietosuojavastaava tai rangaista häntä merkitsee, kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 24 ja 26 kohdassa, sitä, että tietosuojavastaavaa on suojattava kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen.
22 Tällainen päätös voi olla tietosuojavastaavan työnantajan toteuttama irtisanomistoimenpide, jolla lopetetaan tietosuojavastaavan ja kyseisen työnantajan välinen työsuhde ja näin ollen myös tietosuojavastaavan tehtävä kyseisessä yrityksessä.
23 Toiseksi on todettava, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toista virkettä sovelletaan yleisen tietosuoja-asetuksen 37 artiklan 6 kohdan mukaisesti erotuksetta sekä tietosuojavastaavaan, joka on rekisterinpitäjän tai henkilötietojen käsittelijän henkilöstön jäsen, että tietosuojavastaavaan, joka hoitaa tehtäviään rekisterinpitäjän tai henkilötietojen käsittelijän kanssa tehdyn palvelusopimuksen perusteella.
24 Tästä seuraa, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toista virkettä on tarkoitus soveltaa tietosuojavastaavan ja rekisterinpitäjän tai henkilötietojen käsittelijän välisiin suhteisiin riippumatta siitä, minkälainen työsuhde yhdistää tietosuojavastaavan viimeksi mainittuihin.
25 Kolmanneksi on todettava, että mainitussa säännöksessä asetetaan rajoitus, joka koskee – kuten julkisasiamies on pääasiallisesti korostanut ratkaisuehdotuksensa 29 kohdassa – kieltoa irtisanoa tietosuojavastaava syistä, jotka liittyvät siihen, että hän on hoitanut tehtäviään, joihin kuuluu yleisen tietosuoja-asetuksen 39 artiklan 1 kohdan b alakohdan mukaan erityisesti velvollisuus seurata, että noudatetaan unionin tai jäsenvaltioiden tietosuojalainsäännöksiä ja rekisterinpitäjän tai henkilötietojen käsittelijän toimintamenettelyjä, jotka liittyvät henkilötietojen suojaan.
26 Toisaalta yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisen virkkeen tavoitteesta on todettava ensinnäkin, että mainitun asetuksen johdanto-osan 97 perustelukappaleessa todetaan, että tietosuojavastaavan olisi voitava suorittaa velvollisuutensa ja tehtävänsä riippumattomasti, olipa hän palvelussuhteessa rekisterinpitäjään tai ei. Tässä yhteydessä tällaisen riippumattomuuden on välttämättä mahdollistettava se, että he voivat hoitaa näitä tehtäviä yleisen tietosuoja-asetuksen tavoitteen mukaisesti; kuten mainitun asetuksen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, sillä pyritään muun muassa varmistamaan luonnollisten henkilöiden korkeatasoinen suojelu unionissa ja tätä varten varmistamaan näiden henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen kaikkialla unionissa (tuomio 6.10.2020, Quadrature du Net ym., C-511/18, C-512/18 ja C-520/18, EU:C:2020:791, 207 kohta oikeuskäytäntöviittauksineen).
27 Toiseksi tietosuojavastaavan toiminnallisen riippumattomuuden takaamista koskeva tavoite, sellaisena kuin se ilmenee yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisesta virkkeestä, käy ilmi myös kyseisen 38 artiklan 3 kohdan ensimmäisestä ja kolmannesta virkkeestä, joissa edellytetään, että tietosuojavastaava ei ota vastaan ohjeita tehtäviensä hoitamisen yhteydessä ja että hän raportoi suoraan rekisterinpitäjän tai henkilötietojen käsittelijän ylimmälle johdolle, sekä kyseisen 38 artiklan 5 kohdasta, jossa säädetään, että tietosuojavastaavaa sitoo hänen tehtäviensä suorittamista koskeva salassapitovelvollisuus.
28 Kun yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisessa virkkeessä suojataan tietosuojavastaavaa kaikilta päätöksiltä, joilla lopetetaan hänen asemansa tai aiheutetaan hänelle haittaa tai jotka muodostavat rangaistuksen, silloin, kun tällainen päätös liittyy hänen tehtäviensä hoitamiseen, on katsottava, että kyseisellä säännöksellä pyritään pääasiallisesti säilyttämään tietosuojavastaavan toiminnallinen riippumattomuus ja näin ollen takaamaan yleisen tietosuoja-asetuksen säännösten tehokkuus. Tämän säännöksen tarkoituksena ei sitä vastoin ole säännellä kokonaisvaltaisesti rekisterinpitäjän tai henkilötietojen käsittelijän ja sen henkilöstön jäsenten välisiä työsuhteita, joihin vaikutetaan vain toissijaisesti, siinä määrin kuin se on täysin välttämätöntä näiden tavoitteiden saavuttamiseksi.
29 Kolmanneksi tätä tulkintaa tukee mainitun säännöksen asiayhteys ja erityisesti se oikeusperusta, jonka nojalla unionin lainsäätäjä on antanut yleisen tietosuoja-asetuksen.
30 Yleisen tietosuoja-asetuksen johdanto-osasta näet ilmenee, että mainittu asetus on annettu SEUT 16 artiklan perusteella, jonka 2 kohdassa määrätään muun muassa, että Euroopan parlamentti ja neuvosto antavat tavallista lainsäätämisjärjestystä noudattaen yhtäältä luonnollisten henkilöiden suojaa koskevat säännöt, jotka koskevat unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden, silloin kun viimeksi mainitut toteuttavat unionin oikeuden soveltamisalaan kuuluvaa toimintaa, suorittamaa henkilötietojen käsittelyä, sekä toisaalta säännöt, jotka koskevat näiden tietojen vapaata liikkuvuutta.
31 Sitä vastoin yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toisessa virkkeessä säädettyä tietosuojavastaavan erityistä suojaa lukuun ottamatta niiden sääntöjen vahvistaminen, jotka koskevat rekisterinpitäjän tai henkilötietojen käsittelijän palveluksessa olevan tietosuojavastaavan irtisanomissuojaa, ei kuulu luonnollisten henkilöiden suojeluun henkilötietojen käsittelyssä eikä näiden tietojen vapaaseen liikkuvuuteen vaan sosiaalipolitiikan alaan.
32 Tässä yhteydessä on muistutettava yhtäältä, että SEUT 4 artiklan 2 kohdan b alakohdan mukaan unionilla ja jäsenvaltioilla on sosiaalipolitiikan alalla EUT-sopimuksessa määriteltyjen näkökohtien osalta SEUT 2 artiklan 2 kohdassa tarkoitettu jaettu toimivalta. Toisaalta on niin, että kuten SEUT 153 artiklan 1 kohdan d alakohdassa täsmennetään, unioni tukee ja täydentää jäsenvaltioiden toimintaa työntekijöiden suojelemisen alalla työsopimuksen päättymisen yhteydessä (ks. analogisesti tuomio 19.11.2019, TSN ja AKT, C-609/17 ja C-610/17, EU:C:2019:981, 47 kohta).
33 Kuten SEUT 153 artiklan 2 kohdan b alakohdasta kuitenkin ilmenee, parlamentti ja neuvosto voivat antaa direktiivein säännöksiä tätä koskevista vähimmäisvaatimuksista, koska tällaiset vähimmäisvaatimukset eivät unionin tuomioistuimen oikeuskäytännön mukaan voi SEUT 153 artiklan 4 kohdassa tarkoitetussa merkityksessä estää jäsenvaltiota pitämästä voimassa tai toteuttamasta tiukempia suojatoimenpiteitä, jos ne ovat sopusoinnussa perussopimusten kanssa (ks. vastaavasti tuomio 19.11.2019, TSN ja AKT, C-609/17 ja C-610/17, EU:C:2019:981, 48 kohta).
34 Tästä seuraa, kuten julkisasiamies on pääasiallisesti todennut ratkaisuehdotuksensa 44 kohdassa, että kukin jäsenvaltio voi itsellään säilynyttä toimivaltaansa käyttäessään antaa erityisiä säännöksiä, joilla tietosuojavastaavaa suojataan irtisanomiselta vielä enemmän, kunhan nämä säännökset ovat yhteensopivia unionin oikeuden ja yleisen tietosuoja-asetuksen säännösten, erityisesti sen 38 artiklan 3 kohdan toisen virkkeen, kanssa.
35 Kuten julkisasiamies on erityisesti todennut ratkaisuehdotuksensa 50 ja 51 kohdassa, tällainen laajempi suoja ei saa vaarantaa yleisen tietosuoja-asetuksen tavoitteiden saavuttamista. Näin olisi, jos se estäisi rekisterinpitäjää tai henkilötietojen käsittelijää irtisanomasta sellaista tietosuojavastaavaa, jolla ei ole enää tehtäviensä hoitamiseen vaadittua ammattipätevyyttä tai joka ei suorita niitä yleisen tietosuoja-asetuksen säännösten mukaisesti.
36 Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 38 artiklan 3 kohdan toista virkettä on tulkittava siten, että se ei ole esteenä kansalliselle lainsäädännölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi irtisanoa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka irtisanominen ei liity hänen tehtäviensä hoitamiseen, kunhan tällainen lainsäädäntö ei vaaranna yleisen tietosuoja-asetuksen tavoitteiden saavuttamista.
Toinen ja kolmas kysymys
37 Kun otetaan huomioon ensimmäiseen kysymykseen esitetty vastaus, toiseen ja kolmanteen kysymykseen ei ole tarpeen vastata.
Oikeudenkäyntikulut
38 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:
Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 38 artiklan 3 kohdan toista virkettä on tulkittava siten, että se ei ole esteenä kansalliselle lainsäädännölle, jonka mukaan rekisterinpitäjä tai henkilötietojen käsittelijä voi irtisanoa tietosuojavastaavan, joka on sen henkilöstön jäsen, vain painavasta syystä, vaikka irtisanominen ei liity hänen tehtäviensä hoitamiseen, kunhan tällainen lainsäädäntö ei vaaranna yleisen tietosuoja-asetuksen tavoitteiden saavuttamista.
Allekirjoitukset