ROZSUDOK SÚDNEHO DVORA (šiesta komora)
z 9. februára 2023 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 38 ods. 3 – Osoba zodpovedná za ochranu údajov – Zákaz jej odvolania za výkon jej úloh – Požiadavka funkčnej nezávislosti – Vnútroštátna právna úprava zakazujúca odvolanie zodpovednej osoby bez závažného dôvodu – Článok 38 ods. 6 – Konflikt záujmov – Kritériá“
Vo veci C‑453/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko) z 27. apríla 2021 a doručený Súdnemu dvoru 21. júla 2021, ktorý súvisí s konaním:
X‑FAB Dresden GmbH & Co. KG
proti
FC,
SÚDNY DVOR (šiesta komora),
v zložení: predseda šiestej komory P. G. Xuereb, sudcovia A. Kumin a I. Ziemele (spravodajkyňa),
generálny advokát: J. Richard de la Tour,
tajomník: D. Dittert, vedúci oddelenia,
so zreteľom na písomnú časť konania a po pojednávaní z 26. septembra 2022,
so zreteľom na pripomienky, ktoré predložili:
– X‑FAB Dresden GmbH & Co. KG, v zastúpení: S. Leese, Rechtsanwalt,
– FC, v zastúpení: R. Buschmann a T. Heller, Prozessbevollmächtigte,
– nemecká vláda, v zastúpení: J. Möller, D. Klebs a P.‑L. Krüger, splnomocnení zástupcovia,
– Európsky parlament, v zastúpení: O. Hrstková Šolcová a B. Schäfer, splnomocnené zástupkyne,
– Rada Európskej únie, v zastúpení: T. Haas a K. Pleśniak, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: A. Bouchagiar, K. Herrmann a H. Kranenborg, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu a platnosti článku 38 ods. 3 druhej vety nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“), ako aj výkladu článku 38 ods. 6 tohto nariadenia.
2 Tento návrh bol podaný v rámci sporu medzi spoločnosťou X‑FAB Dresden GmbH & Co. KG (ďalej len „X‑FAB“) a jej zamestnancom FC vo veci zrušenia poverenia FC ako osoby zodpovednej za ochranu údajov (ďalej len „ZO“), ku ktorému pristúpila X‑FAB.
Právny rámec
Právo Únie
3 Odôvodnenia 10 a 97 GDPR uvádzajú:
„(10) S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej ú]nie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …
…
(97) … Takéto [ZO], či už sú alebo nie sú zamestnancami prevádzkovateľa, by mali mať možnosť vykonávať svoje povinnosti a úlohy nezávisle.“
4 Článok 37 GDPR, nazvaný „Určenie [ZO]“, v odsekoch 5 a 6 stanovuje:
„5. [ZO] sa určí na základe jej odborných kvalít, a to najmä na základe jej odborných znalostí práva a postupov v oblasti ochrany údajov a na základe spôsobilosti plniť úlohy uvedené v článku 39.
6. [ZO] môže byť členom personálu prevádzkovateľa alebo sprostredkovateľa, alebo môže plniť úlohy na základe zmluvy o poskytovaní služieb.“
5 Článok 38 GDPR, nazvaný „Postavenie [ZO]“, v odsekoch 3, 5 a 6 stanovuje:
„3. Prevádzkovateľ a sprostredkovateľ zabezpečia, aby [ZO] v súvislosti s plnením týchto úloh nedostávala žiadne pokyny. Prevádzkovateľ ani sprostredkovateľ ju nesmú odvolať alebo postihovať za výkon jej úloh. [ZO] podlieha priamo najvyššiemu vedeniu prevádzkovateľa alebo sprostredkovateľa.
…
5. [ZO] je v súvislosti s výkonom svojich úloh viazaná povinnosťou zachovávať mlčanlivosť alebo dôvernosť informácií v súlade s právom Únie alebo s právom členského štátu.
6. [ZO] môže plniť iné úlohy a povinnosti. Prevádzkovateľ alebo sprostredkovateľ zabezpečia, aby žiadna z takýchto úloh alebo povinností neviedla ku konfliktu záujmov.“
6 Článok 39 GDPR, nazvaný „Úlohy [ZO]“, znie:
„1. [ZO] má aspoň tieto úlohy:
a) poskytovanie informácií a poradenstva prevádzkovateľovi alebo sprostredkovateľovi a zamestnancom, ktorí vykonávajú spracúvanie, o ich povinnostiach podľa tohto nariadenia a ostatných právnych predpisov Únie alebo členského štátu týkajúcich sa ochrany údajov;
b) monitorovanie súladu s týmto nariadením, s ostatnými právnymi predpismi Únie alebo členského štátu týkajúcimi sa ochrany osobných údajov a s pravidlami prevádzkovateľa alebo sprostredkovateľa v súvislosti s ochranou osobných údajov vrátane rozdelenia povinností, zvyšovania povedomia a odbornej prípravy personálu, ktorý je zapojený do spracovateľských operácií, a súvisiacich auditov;
c) poskytovanie poradenstva na požiadanie, pokiaľ ide o posúdenie vplyvu na ochranu údajov a monitorovanie jeho vykonávania podľa článku 35;
d) spolupráca s dozorným orgánom;
e) plnenie úlohy kontaktného miesta pre dozorný orgán v súvislosti s otázkami týkajúcimi sa spracúvania vrátane predchádzajúcej konzultácie uvedenej v článku 36 a podľa potreby aj konzultácie v akýchkoľvek iných veciach.
2. [ZO] pri výkone svojich úloh náležite zohľadňuje riziko spojené so spracovateľskými operáciami, pričom berie na vedomie povahu, rozsah, kontext a účely spracúvania.“
Nemecké právo
BDSG
7 V § 6 Bundesdatenschutzgesetz (spolkový zákon o ochrane údajov) z 20. decembra 1990 (BGBl. 1990 I, s. 2954) v znení účinnom od 25. mája 2018 do 25. novembra 2019 (BGBl. 2017 I, s. 2097) (ďalej len „BDSG“), nazvanom „Funkcia“, sa v odseku 4 stanovuje:
„[ZO] možno odvolať z funkcie len v rámci analogického uplatnenia § 626 Bürgerliches Gesetzbuch [(Občiansky zákonník) v znení uverejnenom 2. januára 2002 (BGBl. 2002 I, s. 42, a korigendá v BGBl. 2002 I, s. 2909, a BGBl. 2003 I, s. 738)]. Skončenie pracovného pomeru [ZO] je neprípustné, okrem prípadu, ak existujú skutočnosti, ktoré zo závažného dôvodu oprávňujú verejnoprávny subjekt na okamžité skončenie pracovného pomeru. Po skončení činnosti [ZO] je skončenie pracovného pomeru do jedného roka neprípustné, okrem prípadu, ak je verejnoprávny subjekt zo závažného dôvodu oprávnený na okamžité skončenie pracovného pomeru.“
8 Podľa § 38 BDSG s názvom „[ZO] subjektov, ktoré nie sú verejnoprávne“, sa stanovuje:
„1. Okrem prípadov uvedených v článku 37 ods. 1 písm. b) a c) [GDPR] prevádzkovateľ a sprostredkovateľ určia [ZO] v prípade, že spravidla zamestnávajú najmenej desať osôb trvalo poverených automatizovaným spracovaním osobných údajov. …
2. § 6 ods. 4 a 5 druhá veta a ods. 6 sa uplatnia [analogicky], § 6 ods. 4 sa však uplatní len vtedy, ak je určenie [ZO] povinné.“
Občiansky zákonník
9 Podľa § 626 Občianskeho zákonníka, nazvaného „Okamžité skončenie pracovného pomeru zo závažného dôvodu“, sa stanovuje:
„1. Každá zmluvná strana môže zo závažného dôvodu okamžite skončiť pracovný pomer, ak existujú skutočnosti, na základe ktorých od strany, ktorá pracovný pomer skončila, nie je možné pri zohľadnení všetkých okolností konkrétneho prípadu a pri zvážení záujmov oboch zmluvných strán vyžadovať pokračovanie pracovného pomeru až do uplynutia výpovednej lehoty alebo do dohodnutého termínu skončenia pracovného pomeru.
2. Ku skončeniu môže dôjsť len v lehote dvoch týždňov. Lehota začína plynúť okamihom, v ktorom sa strana oprávnená skončiť pracovný pomer dozvie o skutočnostiach dôležitých pre skončenie. …“
Spor vo veci samej a prejudiciálne otázky
10 FC je od 1. novembra 1993 zamestnancom spoločnosti X‑FAB.
11 V tejto spoločnosti vykonáva funkciu predsedu zamestnaneckej rady a je z tohto dôvodu čiastočne oslobodený od výkonu práce. Okrem toho plní funkciu podpredsedu ústrednej zamestnaneckej rady vytvorenej pre tri podniky skupiny spoločností, do ktorej patrí X‑FAB a ktoré majú sídlo v Nemecku.
12 S účinnosťou od 1. júna 2015 každý z podnikov samostatne určil FC za ZO spoločnosti X‑FAB, ich materskej spoločnosti, ako aj jej ostatných dcérskych spoločností so sídlom v Nemecku. Podľa vnútroštátneho súdu bolo cieľom tohto súbežného určenia FC za ZO všetkých týchto podnikov zaručiť jednotnú úroveň ochrany údajov v uvedených podnikoch.
13 Na žiadosť osoby zodpovednej za ochranu údajov a informačnú slobodu Durínska (Nemecko), X‑FAB a podniky uvedené v bode 12 tohto rozsudku listami z 1. decembra 2017 s okamžitou účinnosťou odvolali FC z funkcie ZO. Samostatnými listami z 25. mája 2018 tieto podniky pre istotu zopakovali svoj postup na základe článku 38 ods. 3 druhej vety GDPR, ktorý medzičasom nadobudol účinnosť, pričom uviedli dôvody súvisiace so skupinou spoločností, do ktorej patrí X‑FAB.
14 Cieľom žaloby, ktorú FC podal na nemecké súdy, je určiť, že v rámci spoločnosti X‑FAB má stále postavenie ZO. Táto spoločnosť tvrdí, že existuje nebezpečenstvo konfliktu záujmov, ak FC zároveň plní úlohy ZO a predsedu zamestnaneckej rady, keďže tieto dve funkcie sú nezlučiteľné. V dôsledku toho existuje závažný dôvod, ktorý opodstatňuje odvolanie FC z funkcie ZO.
15 Prvostupňový a odvolací súd vyhoveli žalobe FC. Cieľom opravného prostriedku „Revision“, ktorý podala X‑FAB na Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko), ktorý podal návrh na začatie prejudiciálneho konania, je zamietnutie tejto žaloby.
16 Vnútroštátny súd poznamenáva, že rozhodnutie o tomto opravnom prostriedku závisí od výkladu práva Únie. Konkrétne je podľa neho na jednej strane nastolená otázka, či článok 38 ods. 3 druhá veta GDPR bráni tomu, aby právna úprava členského štátu podriadila odvolanie ZO prísnejším podmienkam, než sú tie, ktoré stanovuje právo Únie, a v prípade kladnej odpovede, či sa toto ustanovenie opiera o dostatočný právny základ. Za predpokladu, že by Súdny dvor dospel k záveru, že podmienky, ktoré BDSG stanovuje pre odvolanie, sú v súlade s právom Únie, treba podľa neho určiť, či jedna a tá istá osoba môže vykonávať funkcie predsedu zamestnaneckej rady aj ZO toho istého podniku alebo či to spôsobuje konflikt záujmov v zmysle článku 38 ods. 6 druhej vety GDPR.
17 Za týchto podmienok Bundesarbeitsgericht (Spolkový pracovný súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Má sa článok 38 ods. 3 druhá veta [GDPR] vykladať v tom zmysle, že bráni ustanoveniam vnútroštátneho práva, ako je v tomto prípade § 38 ods. 1 a ods. 2 v spojení s § 6 ods. 4 prvou vetou [BDSG], ktoré odvolanie z funkcie [ZO] zo strany prevádzkovateľa, ktorý je jej zamestnávateľom, viažu na splnenie určitých podmienok, nezávisle od toho, či sa tak deje v rámci plnenia úloh [ZO]?
V prípade kladnej odpovede na prvú otázku:
2. Bráni článok 38 ods. 3 druhá veta GDPR takým ustanoveniam vnútroštátneho práva aj v prípade, že určenie [ZO] nie je povinné podľa článku 37 ods. 1 GDPR, ale len podľa právneho poriadku členského štátu?
V prípade kladnej odpovede na prvú otázku:
3. Zakladá sa článok 38 ods. 3 druhá veta GDPR na dostatočnom právnom základe, najmä pokiaľ zahŕňa [ZO], ktoré sú v pracovnom pomere s prevádzkovateľom?
V prípade zápornej odpovede na prvú otázku:
4. Ide o konflikt záujmov v zmysle článku 38 ods. 6 druhej vety GDPR, keď [ZO] súčasne zastáva funkciu predsedu zamestnaneckej rady zriadenej u dotknutého prevádzkovateľa? Vyžaduje sa na uznanie existencie takého konfliktu záujmov osobitné rozdelenie úloh medzi členov zamestnaneckej rady?“
O prejudiciálnych otázkach
O prvej otázke
18 Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 38 ods. 3 druhá veta GDPR vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá stanovuje, že prevádzkovateľ alebo sprostredkovateľ môže odvolať ZO, ktorá je jeho zamestnancom, len zo závažného dôvodu, aj keď odvolanie nesúvisí s výkonom úloh tejto ZO.
19 Ako vyplýva z ustálenej judikatúry, pri výklade ustanovenia práva Únie treba zohľadniť nielen jeho znenie podľa jeho obvyklého významu v bežnom jazyku, ale aj kontext a ciele sledované právnou úpravou, ktorej je súčasťou (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 18 a citovaná judikatúra).
20 Pokiaľ ide v prvom rade o znenie dotknutého ustanovenia, treba pripomenúť, že článok 38 ods. 3 GDPR vo svojej druhej vete stanovuje, že „prevádzkovateľ ani sprostredkovateľ nesmú odvolať alebo postihovať [ZO] za výkon jej úloh“.
21 V tejto súvislosti Súdny dvor vo svojom rozsudku z 22. júna 2022, Leistritz (C‑534/20, EU:C:2022:495, body 20 a 21), najskôr konštatoval, že GDPR nevymedzuje pojmy „odvolať“, „postihovať“ a „za výkon jej úloh“ uvedené v tomto článku 38 ods. 3 druhej vete, a následne po prvé zdôraznil, že v súlade s významom tohto pojmu v bežnom jazyku zákaz vzťahujúci sa na prevádzkovateľa a sprostredkovateľa odvolať alebo postihovať ZO „za výkon jej úloh“, znamená, že táto ZO musí byť chránená pred akýmkoľvek rozhodnutím, ktoré by ukončilo výkon jej funkcie alebo by ju znevýhodnilo, alebo ktoré by predstavovalo postih.
22 Takýmto rozhodnutím však môže byť aj opatrenie na odvolanie ZO, ktoré by prijal jej zamestnávateľ a v dôsledku ktorého by bola ZO odvolaná z funkcie u prevádzkovateľa alebo jeho sprostredkovateľa.
23 Po druhé, ako tiež uviedol Súdny dvor, článok 38 ods. 3 druhá veta GDPR sa uplatňuje bez rozdielu tak na ZO, ktorá je zamestnancom prevádzkovateľa alebo sprostredkovateľa, ako aj na ZO, ktorá plní úlohy na základe zmluvy o poskytovaní služieb uzavretej s týmito osobami v súlade s článkom 37 ods. 6 GDPR, v dôsledku čoho sa tento článok 38 ods. 3 druhá veta má uplatňovať na vzťahy medzi ZO a prevádzkovateľom alebo sprostredkovateľom bez ohľadu na povahu pracovnoprávneho vzťahu medzi touto ZO a týmito poslednými uvedenými osobami (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, body 23 a 24).
24 Po tretie toto posledné uvedené ustanovenie stanovuje obmedzenie, ktoré spočíva v zákaze odvolania ZO z dôvodu založeného na plnení jej úloh, ktoré podľa článku 39 ods. 1 písm. b) GDPR zahŕňajú najmä kontrolu dodržiavania ustanovení práva Únie alebo práva členských štátov v oblasti ochrany údajov, ako aj interných pravidiel prevádzkovateľa alebo sprostredkovateľa v oblasti ochrany osobných údajov (pozri v tomto zmysle rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 25).
25 V druhom rade, pokiaľ ide o cieľ sledovaný článkom 38 ods. 3 druhou vetou GDPR, po prvé odôvodnenie 97 tohto nariadenia uvádza, že ZO, či už sú, alebo nie sú zamestnancami prevádzkovateľa, by mali mať možnosť vykonávať svoje povinnosti a úlohy nezávisle. V tejto súvislosti im takáto nezávislosť musí nevyhnutne umožniť vykonávať ich úlohy v súlade s cieľom GDRP, ktorým je, ako vyplýva z jeho odôvodnenia 10, najmä zaručiť vysokú úroveň ochrany fyzických osôb v rámci Únie a na tento účel zabezpečiť konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd týchto osôb v súvislosti so spracúvaním osobných údajov v celej Únii (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 26 a citovaná judikatúra).
26 Po druhé cieľ, ktorým je zabezpečiť funkčnú nezávislosť ZO, ako vyplýva z článku 38 ods. 3 druhej vety GDPR, vyplýva aj z jeho článku 38 ods. 3 prvej a tretej vety, ktorý vyžaduje, aby táto ZO v súvislosti s výkonom svojich úloh nedostávala žiadne pokyny a aby podliehala priamo najvyššiemu vedeniu prevádzkovateľa alebo sprostredkovateľa, ako aj z článku 38 ods. 5 GDPR, ktorý v súvislosti s týmto výkonom stanovuje, že uvedená ZO je viazaná povinnosťou zachovávať mlčanlivosť alebo dôvernosť informácií (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 27).
27 Článok 38 ods. 3 druhá veta GDPR, ktorý chráni ZO pred akýmkoľvek rozhodnutím, ktoré by ukončilo výkon jej funkcie alebo by ju znevýhodnilo, alebo ktoré by predstavovalo postih, ak by súviselo s plnením jej úloh, sa preto musí považovať za ustanovenie, ktorého cieľom je predovšetkým zachovať funkčnú nezávislosť ZO, a teda zabezpečiť účinnosť ustanovení GDPR (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 28).
28 Ako tiež rozhodol Súdny dvor, tento výklad v treťom rade podporený kontextom, do ktorého patrí toto ustanovenie, a najmä právnym základom, na základe ktorého normotvorca Únie prijal GDPR (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 29).
29 Z preambuly GDPR totiž vyplýva, že toto nariadenie bolo prijaté na základe článku 16 ZFEÚ, ktorého odsek 2 okrem iného stanovuje, že Európsky parlament a Rada Európskej únie v súlade s riadnym legislatívnym postupom ustanovia pravidlá, ktoré sa vzťahujú na ochranu fyzických osôb, pokiaľ ide o spracúvanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie, ako aj členskými štátmi pri výkone činností, ktoré patria do pôsobnosti práva Únie, a pravidlá, ktoré sa vzťahujú na voľný pohyb takýchto údajov (rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 30).
30 V tejto súvislosti stanovenie pravidiel týkajúcich sa ochrany proti odvolaniu ZO, ktorá je zamestnancom prevádzkovateľa alebo sprostredkovateľa, spadá pod ochranu fyzických osôb v súvislosti so spracovaním osobných údajov len v úzkom rozsahu, v akom je cieľom týchto pravidiel chrániť funkčnú nezávislosť ZO v súlade s článkom 38 ods. 3 druhou vetou GDPR (pozri v tomto zmysle rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 31).
31 Z toho vyplýva, že každý členský štát môže v rámci výkonu svojej právomoci, ktorú má zachovanú, stanoviť osobitné ustanovenia, ktoré poskytujú väčšiu ochranu proti odvolaniu ZO, pokiaľ sú tieto ustanovenia zlučiteľné s právom Únie a najmä ustanoveniami GDPR, predovšetkým jeho článkom 38 ods. 3 druhou vetou (pozri v tomto zmysle rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 34).
32 Takáto zvýšená ochrana predovšetkým nesmie ohroziť dosiahnutie cieľov GDPR. O taký prípad by však išlo vtedy, ak by bránila prevádzkovateľovi alebo sprostredkovateľovi v akomkoľvek odvolaní ZO, ktorá už nemá odborné schopnosti požadované na plnenie svojich úloh v súlade s článkom 37 ods. 5 GDPR, alebo ktorá by tieto úlohy neplnila v súlade s ustanoveniami tohto nariadenia (pozri v tomto zmysle rozsudok z 22. júna 2022, Leistritz, C‑534/20, EU:C:2022:495, bod 35).
33 V tejto súvislosti treba pripomenúť, že ako bolo uvedené v bode 25 tohto rozsudku, cieľom GDPR je zaručiť vysokú úroveň ochrany fyzických osôb v rámci Únie, pokiaľ ide o spracúvanie ich osobných údajov, pričom na dosiahnutie tohto cieľa musí mať ZO možnosť úplne nezávisle plniť svoje funkcie a úlohy.
34 Zvýšená ochrana ZO, ktorá by bránila jej akémukoľvek odvolaniu v prípade, ak by už nebola schopná plniť svoje úlohy úplne nezávisle z dôvodu existencie konfliktu záujmov, by tak ohrozila dosiahnutie tohto cieľa.
35 Vnútroštátnemu súdu prislúcha uistiť sa, že osobitné ustanovenia, ako sú ustanovenia uvedené v bode 31 tohto rozsudku, sú v súlade s právom Únie, a najmä s ustanoveniami GDPR.
36 Vzhľadom na predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 38 ods. 3 druhá veta GDPR sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá stanovuje, že prevádzkovateľ alebo sprostredkovateľ môže odvolať ZO, ktorá je jeho zamestnancom, len zo závažného dôvodu, aj keď odvolanie nesúvisí s plnením úloh tejto ZO, pokiaľ takáto právna úprava neohrozí dosiahnutie cieľov GDPR.
O druhej a tretej otázke
37 Vzhľadom na odpoveď na prvú otázku nie je potrebné odpovedať na druhú a tretiu otázku.
O štvrtej otázke
38 Svojou štvrtou otázkou sa vnútroštátny súd v podstate pýta, za akých podmienok možno konštatovať existenciu „konfliktu záujmov“ v zmysle článku 38 ods. 6 GDPR.
39 Pokiaľ ide v prvom rade o znenie dotknutého ustanovenia, treba uviesť, že podľa článku 38 ods. 6 druhej vety GDPR „[ZO] môže plniť iné úlohy a povinnosti. Prevádzkovateľ alebo sprostredkovateľ zabezpečia, aby žiadna z takýchto úloh alebo povinností neviedla ku konfliktu záujmov“.
40 Zo znenia tohto ustanovenia teda po prvé vyplýva, že GDPR nestanovuje žiadnu zásadnú nezlučiteľnosť medzi na jednej strane plnením úloh ZO a na druhej strane plnením iných úloh u prevádzkovateľa alebo jeho sprostredkovateľa. Článok 38 ods. 6 tohto nariadenia totiž osobitne stanovuje, že ZO možno poveriť plnením iných úloh a povinností, ako sú tie, ktoré jej prislúchajú podľa článku 39 GDPR.
41 Po druhé to však nič nemení na tom, že prevádzkovateľ alebo jeho sprostredkovateľ musia zabezpečiť, aby tieto ostatné úlohy a povinnosti neviedli ku „konfliktu záujmov“. Vzhľadom na význam týchto pojmov v bežnom jazyku treba usudzovať, že v súlade s cieľom sledovaným článkom 38 ods. 6 GDPR nemožno ZO poveriť plnením úloh a povinností, ktoré by mohli narušiť plnenie úloh, ktoré má ako ZO.
42 Pokiaľ ide o tento cieľ, treba v druhom rade uviesť, že cieľom tohto ustanovenia je, podobne ako v prípade ostatných ustanovení uvedených v bode 25 tohto rozsudku, predovšetkým zachovať funkčnú nezávislosť ZO, a teda zaručiť účinnosť ustanovení GDPR.
43 Pokiaľ ide v treťom rade o kontext, do ktorého patrí článok 38 ods. 6 GDPR, treba uviesť, že podľa článku 39 ods. 1 písm. b) GDPR je úlohou ZO najmä kontrolovať dodržiavanie GDPR, iných ustanovení práva Únie alebo práva členských štátov v oblasti ochrany údajov a kontrolovať dodržiavanie interných pravidiel prevádzkovateľa alebo sprostredkovateľa v oblasti ochrany osobných údajov, vrátane rozdelenia povinností, zvyšovania povedomia a odbornej prípravy personálu, ktorý je zapojený do spracovateľských operácií, a súvisiacich auditov.
44 Z toho predovšetkým vyplýva, že ZO nemožno poveriť úlohami alebo povinnosťami, ktoré by ju viedli k určeniu účelu a prostriedkov spracovania osobných údajov u prevádzkovateľa alebo jeho sprostredkovateľa. V súlade s právom Únie alebo právom členských štátov v oblasti ochrany údajov totiž musí ZO vykonávať kontrolu týchto cieľov a prostriedkov nezávisle.
45 Určenie, či existuje konflikt záujmov v zmysle článku 38 ods. 6 GDPR, sa musí vykonať od prípadu k prípadu na základe posúdenia všetkých relevantných okolností, najmä organizačnej štruktúry prevádzkovateľa alebo jeho sprostredkovateľa, a s prihliadnutím na celú príslušnú právnu úpravu vrátane prípadných interných predpisov týchto posledných uvedených subjektov.
46 Vzhľadom na všetky predchádzajúce úvahy treba na štvrtú otázku odpovedať tak, že článok 38 ods. 6 GDPR sa má vykladať v tom zmysle, že „konflikt záujmov“ v zmysle tohto ustanovenia môže existovať v prípade, keď je ZO poverená inými úlohami alebo povinnosťami, ktoré by ju viedli k stanoveniu účelov a prostriedkov spracovania osobných údajov u prevádzkovateľa alebo jeho sprostredkovateľa, čo musí vyhodnotiť vnútroštátny súd v každom jednotlivom prípade na základe posúdenia všetkých relevantných okolností, najmä organizačnej štruktúry prevádzkovateľa alebo jeho sprostredkovateľa, a s prihliadnutím na celú uplatniteľnú právnu úpravu vrátane prípadných interných predpisov týchto posledných uvedených subjektov.
O trovách
47 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (šiesta komora) rozhodol takto:
1. Článok 38 ods. 3 druhá veta nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá stanovuje, že prevádzkovateľ alebo sprostredkovateľ môže odvolať zodpovednú osobu, ktorá je jeho zamestnancom, len zo závažného dôvodu, aj keď odvolanie nesúvisí s plnením úloh tejto zodpovednej osoby, pokiaľ takáto právna úprava neohrozí dosiahnutie cieľov tohto nariadenia.
2. Článok 38 ods. 6 nariadenia 2016/679 sa má vykladať v tom zmysle, že „konflikt záujmov“ v zmysle tohto ustanovenia môže existovať v prípade, keď je zodpovedná osoba poverená inými úlohami alebo povinnosťami, ktoré by ju viedli k stanoveniu účelov a prostriedkov spracovania osobných údajov u prevádzkovateľa alebo jeho sprostredkovateľa, čo musí vyhodnotiť vnútroštátny súd v každom jednotlivom prípade na základe posúdenia všetkých relevantných okolností, najmä organizačnej štruktúry prevádzkovateľa alebo jeho sprostredkovateľa, a s prihliadnutím na celú uplatniteľnú právnu úpravu vrátane prípadných interných predpisov týchto posledných uvedených subjektov.
Podpisy