CELEX: 62020CJ0534
Řízení o předběžné otázce
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů
Nařízení (EU) 2016/679
Článek 38 odst. 3 druhá věta
Pověřenec pro ochranu osobních údajů
Zákaz propuštění pověřence pro ochranu osobních údajů v souvislosti s plněním jeho úkolů správcem nebo zpracovatelem
Právní základ
Článek 16 SFEU
Požadavek funkční nezávislosti
Vnitrostátní právní úprava zakazující propouštění pověřence pro ochranu osobních údajů bez závažného důvodu

Žádost o rozhodnutí o předběžné otázce se týká výkladu a platnosti čl. 38 odst. 3 druhé věty nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
Úř. věst. 2016, L 119, s. 1
a oprava
Úř. věst. 2018, L 127, s. 2
, dále jen „GDPR“).
Tato žádost byla předložena v rámci sporu mezi společností Leistritz AG a LH, která v této společnosti vykonávala funkci pověřence pro ochranu osobních údajů, ve věci ukončení její pracovní smlouvy z důvodu reorganizace vnitřní struktury uvedené společnosti.
Právní rámec
Unijní právo
Body 10 a 97 odůvodnění GDPR zní:
„(10)
S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. […]
[…]
(97)
[…] [P]ověřenci pro ochranu osobních údajů, bez ohledu na to, zda se jedná o zaměstnance správce, by měli být schopni plnit své povinnosti a úkoly nezávislým způsobem.“
Článek 37 GDPR, nadepsaný „Jmenování pověřence pro ochranu osobních údajů“, zní následovně:
„1.   Správce a zpracovatel jmenují pověřence pro ochranu osobních údajů v každém případě, kdy:
a)
zpracování provádí orgán veřejné moci či veřejný subjekt, s výjimkou soudů jednajících v rámci svých soudních pravomocí;
b)
hlavní činnosti správce nebo zpracovatele spočívají v operacích zpracování, které kvůli své povaze, svému rozsahu nebo svým účelům vyžadují rozsáhlé pravidelné a systematické monitorování subjektů údajů; nebo
c)
hlavní činnosti správce nebo zpracovatele spočívají v rozsáhlém zpracování zvláštních kategorií údajů uvedených v článku 9 nebo osobních údajů týkajících se odsouzení v trestních věcech a trestných činů uvedených v článku 10.
[…]
6.   Pověřenec pro ochranu osobních údajů může být pracovníkem správce či zpracovatele, nebo může úkoly plnit na základě smlouvy o poskytování služeb.
[…]“
Článek 38 GDPR, nadepsaný „Postavení pověřence pro ochranu osobních údajů“, v odstavcích 3 a 5 stanoví:
„3.   Správce a zpracovatel zajistí, aby pověřenec pro ochranu osobních údajů nedostával žádné pokyny týkající se výkonu těchto úkolů. V souvislosti s plněním svých úkolů není správcem nebo zpracovatelem propuštěn ani sankcionován. Pověřenec pro ochranu osobních údajů je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.
[…]
5.   Pověřenec pro ochranu osobních údajů je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností, v souladu s právem Unie nebo členského státu.“
Článek 39 GDPR, nadepsaný „Úkoly pověřence pro ochranu osobních údajů“, v odst. 1 písm. b) stanoví:
„1. Pověřenec pro ochranu osobních údajů vykonává alespoň tyto úkoly:
[…]
b)
monitorování souladu s tímto nařízením, dalšími předpisy Unie nebo členských států v oblasti ochrany údajů a s koncepcemi správce nebo zpracovatele v oblasti ochrany osobních údajů, včetně rozdělení odpovědnosti, zvyšování povědomí a odborné přípravy pracovníků zapojených do operací zpracování a souvisejících auditů;
[…]“
Německé právo
Ustanovení § 6 Bundesdatenschutzgesetz (spolkový zákon o ochraně osobních údajů) ze dne 20. prosince 1990 (BGBl. 1990 I, s. 2954), ve znění účinném od 25. května 2018 do 25. listopadu 2019 (BGBl. 2017 I, s. 2097) (dále jen „BDSG“), nadepsané „Postavení“, v odstavci 4 stanoví:
„Odvolání pověřence pro ochranu osobních údajů je přípustné pouze za podmínek vyplývajících z obdobného použití § 626 Bürgerliches Gesetzbuch [(občanský zákoník), ve znění zveřejněném dne 2. ledna 2002 (BGBl. 2002 I, s. 42 a opravy BGBl. 2002 I, s. 2909, a BGBl. 2003 I, s. 738)]. Propuštění pověřence pro ochranu osobních údajů je nepřípustné, pokud nenastaly skutečnosti, které veřejný subjekt opravňují k propuštění ze závažného důvodu bez dodržení výpovědní doby. Po skončení výkonu činnosti pověřence pro ochranu osobních údajů je propuštění po dobu jednoho roku nepřípustné, pokud veřejný subjekt není oprávněn k propuštění ze závažného důvodu bez dodržení výpovědní doby.“
Ustanovení § 38 BDSG, nadepsané „Pověřenci pro ochranu osobních údajů neveřejných subjektů“, stanoví:
„(1)   Kromě případů uvedených v čl. 37 odst. 1 písm. b) a c) [GDPR] správce a zpracovatel jmenují pověřence pro ochranu osobních údajů v případě, že zpravidla soustavně zaměstnávají nejméně deset osob automatizovaným zpracováním osobních údajů. […]
(2)   Ustanovení § 6 odst. 4, § 6 odst. 5 druhé věty a § 6 odst. 6 se použijí, ustanovení § 6 odst. 4 se však použije pouze v případě, že je jmenování pověřence pro ochranu osobních údajů povinné.“
Ustanovení § 134 občanského zákoníku ve znění zveřejněném dne 2. ledna 2002 (dále jen „občanský zákoník“), nadepsané „Zákonný zákaz“, zní následovně:
„Právní úkon, který odporuje zákonnému zákazu, je neplatný, nevyplývá-li ze zákona něco jiného.“
Ustanovení § 626 občanského zákoníku, nadepsané „Okamžitá výpověď ze závažného důvodu“, stanoví:
„(1)   Pracovní poměr může být každou ze smluvních stran ukončen ze závažného důvodu bez dodržení výpovědní doby, pokud nastaly skutečnosti, na jejichž základě nelze od osoby dávající výpověď s přihlédnutím ke všem okolnostem daného případu a při zvážení zájmů obou smluvních stran požadovat pokračování pracovního poměru až do uplynutí výpovědní doby nebo do sjednaného konce pracovního poměru.
(2)   K této výpovědi může dojít pouze do dvou týdnů. Uvedená lhůta začíná běžet okamžikem, kdy se osoba oprávněná dát výpověď dozví o skutečnostech, které jsou pro výpověď rozhodné. […]“
Spor v původním řízení a předběžné otázky
Leistritz je společností soukromého práva, která má dle německého práva povinnost jmenovat pověřence pro ochranu osobních údajů. LH vykonávala v této společnosti od 15. ledna 2018 funkci „vedoucí právního oddělení“ a od 1. února 2018 funkci pověřenkyně pro ochranu osobních údajů.
Dopisem ze dne 13. července 2018 ukončila Leistritz s LH pracovní poměr řádnou výpovědí s účinností k 15. srpnu 2018, kterou odůvodnila restrukturalizací společnosti, v jejímž rámci bylo interně vykonávané právní poradenství a oddělení ochrany osobních údajů externalizováno.
Soudy nižšího stupně meritorně rozhodující o žalobě LH na neplatnost výpovědi rozhodly, že tato výpověď byla neplatná, protože podle § 38 odst. 2 ve spojení s § 6 odst. 4 druhou větou BDSG bylo možné LH, jakožto pověřenkyni pro ochranu osobních údajů, dát pouze okamžitou výpověď, a to ze závažného důvodu. Restrukturalizační opatření popsané společností Leistritz přitom takovýmto důvodem není.
Předkládající soud, ke kterému společnost Leistritz podala opravný prostředek
Revision
, uvádí, že podle německého práva je výpověď daná LH dle těchto ustanovení a § 134 občanského zákoníku neplatná. Předkládající soud nicméně poukazuje na to, že použitelnost § 38 odst. 2 a § 6 odst. 4 druhé věty BDSG závisí na tom, zda je v souladu s unijním právem, a zejména s čl. 38 odst. 3 druhou větou nařízení 2016/679, vnitrostátní právní úprava členského státu, která váže výpověď danou pověřenci pro ochranu osobních údajů na přísnější podmínky, než jsou podmínky stanovené unijním právem. Pokud by tomu tak nebylo, bylo by namístě opravnému prostředku
Revision
vyhovět.
Předkládající soud upřesňuje, že jeho pochybnosti vyplývají zejména z rozdílných názorů zastávaných ve vnitrostátní právní nauce. Většinový názor má za to, že zvláštní ochrana před propuštěním stanovená v § 38 odst. 2 ve spojení s § 6 odst. 4 druhou větou BDSG představuje hmotněprávní pravidlo pracovního práva, v souvislosti s nímž Unie nemá žádnou legislativní pravomoc, uvedená ustanovení tedy nemohou být v rozporu s čl. 38 odst. 3 druhou větou GDPR. Naproti tomu, podle zastánců menšinového názoru je spojení této ochrany s funkcí pověřence pro ochranu osobních údajů v rozporu s unijním právem a vyvolává hospodářský tlak na to, aby osoba, která byla jednou jmenována pověřencem pro ochranu osobních údajů, tuto funkci vykonávala trvale.
Za těchto podmínek se Bundesarbeitsgericht (Spolkový pracovní soud, Německo) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být ustanovení čl. 38 odst. 3 druhá věta [GDPR] vykládáno v tom smyslu, že brání takovým ustanovením vnitrostátního práva, jako jsou v projednávané věci § 38 odst. 1 a 2 ve spojení s § 6 odst. 4 druhou větou [BDSG], která stanoví, že ukončení pracovního poměru pověřence pro ochranu osobních údajů řádnou výpovědí ze strany správce, který je jeho zaměstnavatelem, je nepřípustné bez ohledu na to, zda k němu dochází v souvislosti s plněním úkolů pověřence?
2)
V případě kladné odpovědi na první otázku:
Brání čl. 38 odst. 3 druhá věta GDPR takovým ustanovením vnitrostátního práva i v případě, že jmenování pověřence pro ochranu osobních údajů není povinné podle čl. 37 odst. 1 GDPR, nýbrž pouze podle práva členského státu?
3)
V případě kladné odpovědi na první otázku:
Spočívá čl. 38 odst. 3 druhá věta GDPR na dostatečném právním základě, a to zejména když se vztahuje na pověřence pro ochranu osobních údajů, kteří jsou ke správci vázaní pracovní smlouvou?“
K předběžným otázkám
K první otázce
Podstatou první otázky předkládajícího soudu je, zda čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která stanoví, že správce nebo zpracovatel může propustit pověřence pro ochranu osobních údajů, který je jeho zaměstnancem, pouze ze závažného důvodu, i když výpověď nesouvisí s výkonem úkolů tohoto pověřence.
Jak vyplývá z ustálené judikatury, pro výklad ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění v souladu s jeho obvyklým významem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (rozsudek ze dne 22. února 2022, Stichting Rookpreventie Jeugd a další,
C‑160/20
,
EU:C:2022:101
, bod
, jakož i citovaná judikatura).
Zaprvé, pokud jde o znění dotčeného ustanovení, je třeba připomenout, že čl. 38 odst. 3 GDPR ve své druhé větě stanoví, že „[v] souvislosti s plněním svých úkolů není [nesmí být] správcem nebo zpracovatelem propuštěn ani sankcionován“.
Úvodem je třeba připomenout, že GDPR nedefinuje pojmy „propuštěn“, „sankcionován“ a „v souvislosti s plněním svých úkolů“, které jsou uvedeny v čl. 38 odst. 3 druhé větě.
Přesto podle významu, který tyto výrazy mají v běžném jazyce, skutečnost, že správce nebo zpracovatel má zakázáno pověřence pro ochranu osobních údajů propustit nebo sankcionovat, zaprvé znamená, jak v podstatě uvedl generální advokát v bodech 24 a 26 svého stanoviska, že tento pověřenec musí být chráněn před jakýmkoliv rozhodnutím, kterým by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo které by představovalo sankci.
V této souvislosti by takovéto rozhodnutí mohla představovat výpověď udělená zaměstnavatelem pověřenci pro ochranu osobních údajů, která by ukončila pracovní poměr mezi tímto pověřencem a zaměstnavatelem, a tím i jeho funkci pověřence pro ochranu osobních údajů v dotyčném podniku.
Zadruhé je nutno konstatovat, že čl. 38 odst. 3 druhá věta GDPR se podle čl. 37 odst. 6 GDPR vztahuje bez rozdílu jak na pověřence pro ochranu osobních údajů, který je pracovníkem správce či zpracovatele, tak i na pověřence, který plní své úkoly na základě smlouvy o poskytování služeb uzavřené se správcem nebo zpracovatelem.
Z toho vyplývá, že čl. 38 odst. 3 druhá věta GDPR se vztahuje na vztahy mezi pověřencem pro ochranu osobních údajů a správcem nebo zpracovatelem, nezávisle na povaze pracovní vazby mezi nimi.
Zatřetí je třeba uvést, že toto ustanovení stanoví mez, která spočívá, jak v podstatě zdůraznil generální advokát v bodě 29 svého stanoviska, v zákazu propustit pověřence pro ochranu osobních údajů z jakéhokoli důvodu souvisejícího s plněním jeho úkolů, ke kterým podle čl. 39 odst. 1 písm. b) GDPR patří zejména kontrola dodržování ustanovení unijního práva nebo práva členských států v oblasti ochrany osobních údajů, jakož i interních pravidel správce nebo zpracovatele v oblasti ochrany osobních údajů.
Zadruhé, pokud jde o cíl sledovaný čl. 38 odst. 3 druhou větou GDPR, je třeba zaprvé zdůraznit, že bod 97 odůvodnění GDPR uvádí, že pověřenci pro ochranu osobních údajů, bez ohledu na to, zda se jedná o zaměstnance správce, by měli být schopni plnit své povinnosti a úkoly nezávislým způsobem. V tomto ohledu jim takováto nezávislost musí nutně umožnit plnění těchto úkolů v souladu s cílem GDPR, kterým je, jak vyplývá z bodu 10 jeho odůvodnění, zejména zajistit vysokou úroveň ochrany fyzických osob v Unii, a za tím účelem zajistit v celé Unii jednotné a soudržné uplatňování pravidel ochrany základních práv a svobod těchto osob v souvislosti se zpracováváním osobních údajů (rozsudek ze dne 6. října 2020, La Quadrature du Net a další,
C‑511/18, C‑512/18 a C‑520/18
,
EU:C:2020:791
, bod
a citovaná judikatura).
Zadruhé cíl zaručit funkční nezávislost pověřence pro ochranu osobních údajů, který vyplývá z čl. 38 odst. 3 druhé věty GDPR, vyplývá rovněž z čl. 38 odst. 3 první a třetí věty, které stanoví, že tento pověřenec nedostává žádné pokyny týkající se výkonu jeho úkolů, a že je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele, jakož i z uvedeného čl. 38 odst. 5, který stanoví, že uvedený pověřenec je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností.
Článek 38 odst. 3 druhá věta GDPR, který chrání pověřence pro ochranu osobních údajů před jakýmkoliv rozhodnutím, kterým by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo které by představovalo sankci, pokud by souviselo s výkonem jeho úkolů, proto musí být považován za ustanovení, jehož hlavním cílem je zachovat funkční nezávislost pověřence pro ochranu osobních údajů a tím zaručit účinnost ustanovení GDPR. Toto ustanovení naproti tomu nemá za cíl celkově upravit pracovní vztahy mezi správcem nebo zpracovatelem a jeho zaměstnanci, které mohou být ovlivněny pouze doprovodně v rozsahu, v němž je to nezbytně nutné k dosažení těchto cílů.
Tento výklad je zatřetí potvrzen kontextem, do něhož uvedené ustanovení zapadá, a zejména právním základem, na jehož základě unijní normotvůrce GDPR přijal.
Z preambule GDPR totiž vyplývá, že toto nařízení bylo přijato na základě článku 16 SFEU, jehož odstavec 2 zejména stanoví, že Evropský parlament a Rada Evropské unie přijmou řádným legislativním postupem pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů.
Kromě zvláštní ochrany pověřence pro ochranu osobních údajů stanovené v čl. 38 odst. 3 druhé větě GDPR se při stanovení pravidel o ochraně pověřence pro ochranu osobních údajů zaměstnaného správcem nebo zpracovatelem proti propuštění nejedná ani o ochranu fyzických osob při zpracování osobních údajů, ani o volný pohyb těchto údajů, nýbrž o oblast sociální politiky.
V této souvislosti je třeba připomenout, že podle čl. 4 odst. 2 písm. b) SFEU mají Unie a členské státy v oblasti sociální politiky, pokud jde o hlediska vymezená ve Smlouvě o FEU, sdílenou pravomoc ve smyslu čl. 2 odst. 2 SFEU. A dále, jak upřesňuje čl. 153 odst. 1 písm. d) SFEU, Unie podporuje a doplňuje činnost členských států v oblasti ochrany zaměstnanců při skončení pracovního poměru (obdobně viz rozsudek ze dne 19. listopadu 2019, TSN a AKT,
C‑609/17 a C‑610/17
,
EU:C:2019:981
, bod
).
Jak však vyplývá z čl. 153 odst. 2 písm. b) SFEU, Parlament a Rada mohou v této souvislosti formou směrnic stanovit minimální požadavky, přičemž takovéto minimální požadavky nemohou podle judikatury Soudního dvora s ohledem na čl. 153 odst. 4 SFEU bránit členskému státu, aby zachovával či zaváděl přísnější ochranná opatření, která jsou slučitelná se Smlouvami (v tomto smyslu viz rozsudek ze dne 19. listopadu 2019, TSN a AKT,
C‑609/17 a C‑610/17
,
EU:C:2019:981
, bod
).
Z toho vyplývá, jak v podstatě zdůraznil generální advokát v bodě 44 svého stanoviska, že každý členský stát může při výkonu své pravomoci stanovit zvláštní ochranná ustanovení v oblasti propouštění pověřence pro ochranu osobních údajů, pokud tato ustanovení jsou slučitelná s unijním právem, a zejména s ustanoveními GDPR, především s jeho čl. 38 odst. 3 druhou větou.
Takováto zvýšená ochrana, jak uvedl generální advokát v bodech 50 a 51 svého stanoviska, zejména nesmí ohrozit dosažení cílů GDPR. Tak by tomu přitom bylo tehdy, pokud by tato ochrana bránila jakémukoli propuštění ze strany správce nebo zpracovatele pověřence pro ochranu osobních údajů, který by již neměl profesní kvality vyžadované pro výkon jeho úkolů nebo který by tyto úkoly neplnil v souladu s ustanoveními GDPR.
S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět, že čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, která stanoví, že správce nebo zpracovatel může propustit pověřence pro ochranu osobních údajů, který je jeho zaměstnancem, pouze ze závažného důvodu, i když výpověď nesouvisí s výkonem úkolů tohoto pověřence, pokud tato právní úprava neohrožuje dosažení cílů GDPR.
Ke druhé a třetí otázce
S ohledem na odpověď podanou na první otázku není důvodné odpovídat na druhou a třetí otázku.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:

Článek 38 odst. 3 druhá věta nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, která stanoví, že správce nebo zpracovatel může propustit pověřence pro ochranu osobních údajů, který je jeho zaměstnancem, pouze ze závažného důvodu, i když výpověď nesouvisí s výkonem úkolů tohoto pověřence, pokud tato právní úprava neohrožuje dosažení cílů tohoto nařízení.

Podpisy.
(
*1
) – Jednací jazyk: němčina.