CELEX: 62021CJ0453
Řízení o předběžné otázce
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů
Nařízení (EU) 2016/679
Článek 38 odst. 3
Pověřenec pro ochranu osobních údajů
Zákaz propuštění v souvislosti s plněním svých úkolů
Požadavek funkční nezávislosti
Vnitrostátní právní úprava zakazující propuštění pověřence pro ochranu osobních údajů bez závažného důvodu
Článek 38 odst. 6
Střet zájmů
Kritéria

Žádost o rozhodnutí o předběžné otázce se týká výkladu a platnosti čl. 38 odst. 3 druhé věty nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
Úř. věst. 2016, L 119, s. 1
a oprava
Úř. věst. 2018, L 127, s. 2
, dále jen „GDPR“), jakož i výkladu čl. 38 odst. 6 tohoto nařízení.
Tato žádost byla předložena v rámci sporu mezi společností X-FAB Dresden GmbH & Co. KG (dále jen „X-FAB“) a FC, jejím zaměstnancem, ve věci odvolání FC z funkce pověřence pro ochranu osobních údajů (dále jen „pověřenec“), o němž rozhodla společnost X-FAB.
Právní rámec
Unijní právo
Body 10 a 97 odůvodnění GDPR zní:
„(10)
S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci [Evropské u]nie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. […]
[…]
(97)
[…] Tito [pověřenci], bez ohledu na to, zda se jedná o zaměstnance správce, by měli být schopni plnit své povinnosti a úkoly nezávislým způsobem.“
Článek 37 GDPR, nadepsaný „Jmenování [pověřence]“, v odstavcích 5 a 6 stanoví:
„5.   [Pověřenec] musí být jmenován na základě svých profesních kvalit, zejména na základě svých odborných znalostí práva a praxe v oblasti ochrany údajů a své schopnosti plnit úkoly stanovené v článku 39.
6.   [Pověřenec] může být pracovníkem správce či zpracovatele, nebo může úkoly plnit na základě smlouvy o poskytování služeb.“
Článek 38 GDPR, nadepsaný „Postavení [pověřence]“, v odstavcích 3, 5 a 6 stanoví:
„3.   Správce a zpracovatel zajistí, aby [pověřenec] nedostával žádné pokyny týkající se výkonu těchto úkolů. V souvislosti s plněním svých úkolů není správcem nebo zpracovatelem propuštěn ani sankcionován. [Pověřenec] je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele.
[…]
5.   [Pověřenec] je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností, v souladu s právem Unie nebo členského státu.
6.   [Pověřenec] může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.“
Článek 39 GDPR, nadepsaný „Úkoly [pověřence]“, zní následovně:
„1.   [Pověřenec] vykonává alespoň tyto úkoly:
a)
poskytování informací a poradenství správcům nebo zpracovatelům a zaměstnancům, kteří provádějí zpracování, o jejich povinnostech podle tohoto nařízení a dalších předpisů Unie nebo členských států v oblasti ochrany údajů;
b)
monitorování souladu s tímto nařízením, dalšími předpisy Unie nebo členských států v oblasti ochrany údajů a s koncepcemi správce nebo zpracovatele v oblasti ochrany osobních údajů, včetně rozdělení odpovědnosti, zvyšování povědomí a odborné přípravy pracovníků zapojených do operací zpracování a souvisejících auditů;
c)
poskytování poradenství na požádání, pokud jde o posouzení vlivu na ochranu osobních údajů, a monitorování jeho uplatňování podle článku 35;
d)
spolupráce s dozorovým úřadem a
e)
působení jako kontaktní místo pro dozorový úřad v záležitostech týkajících se zpracování, včetně předchozí konzultace podle článku 36, a případně vedení konzultací v jakékoli jiné věci.
2.   [Pověřenec] bere při plnění svých úkolů patřičný ohled na riziko spojené s operacemi zpracování a současně přihlíží k povaze, rozsahu, kontextu a účelům zpracování.“
Německé právo
BDSG
Ustanovení § 6 Bundesdatenschutzgesetz (spolkový zákon o ochraně osobních údajů) ze dne 20. prosince 1990 (BGBl. 1990 I, s. 2954), ve znění účinném od 25. května 2018 do 25. listopadu 2019 (BGBl. 2017 I, s. 2097) (dále jen „BDSG“), nadepsané „Postavení“, v odstavci 4 stanoví:
„Odvolání [pověřence] je přípustné pouze za podmínek vyplývajících z obdobného použití § 626 Bürgerliches Gesetzbuch [(občanský zákoník), ve znění zveřejněném dne 2. ledna 2002 (BGBl. 2002 I, s. 42 a opravy BGBl. 2002 I, s. 2909, a BGBl. 2003 I, s. 738)]. Propuštění [pověřence] je nepřípustné, pokud nenastaly skutečnosti, které veřejný subjekt opravňují k propuštění ze závažného důvodu bez dodržení výpovědní doby. Po skončení výkonu činnosti pověřence pro ochranu osobních údajů je propuštění po dobu jednoho roku nepřípustné, pokud veřejný subjekt není oprávněn k propuštění ze závažného důvodu bez dodržení výpovědní doby.“
Ustanovení § 38 BDSG, nadepsané „[Pověřenci] neveřejných subjektů“, stanoví:
„(1)   Kromě případů uvedených v čl. 37 odst. 1 písm. b) a c) [GDPR] správce a zpracovatel jmenují [pověřence] v případě, že zpravidla soustavně zaměstnávají nejméně deset osob automatizovaným zpracováním osobních údajů. […]
(2)   Ustanovení § 6 odst. 4, odst. 5 druhé věty a §6 odst. 6 se použijí, ustanovení § 6 odst. 4 se však pouze v případě, že je jmenování [pověřence] povinné.“
Občanský zákoník
Ustanovení § 626 občanského zákoníku, nadepsané „Okamžitá výpověď ze závažného důvodu“, stanoví:
„(1)   Pracovní poměr může být každou ze smluvních stran ukončen ze závažného důvodu bez dodržení výpovědní doby, pokud nastaly skutečnosti, na jejichž základě nelze od osoby dávající výpověď s přihlédnutím ke všem okolnostem daného případu a při zvážení zájmů obou smluvních stran požadovat pokračování pracovního poměru až do uplynutí výpovědní doby nebo do sjednaného konce pracovního poměru.
(2)   K výpovědi může dojít pouze do dvou týdnů. Uvedená lhůta začíná běžet okamžikem, kdy se osoba oprávněná dát výpověď dozví o skutečnostech, které jsou pro výpověď rozhodné. […]“
Spor v původním řízení a předběžné otázky
FC je od 1. listopadu 1993 zaměstnán u společnosti X-FAB.
V této společnosti vykonává funkci předsedy podnikové rady a z tohoto důvodu je částečně uvolněn z práce. Kromě toho zastává funkci místopředsedy ústřední podnikové rady, která byla zřízena pro tři podniky skupiny společností, k níž patří společnost X-FAB, které mají sídlo v Německu.
S účinností k 1. červnu 2015 byl žalobce společností X-FAB a její mateřskou společností, jakož i dalšími jejími dceřinými společnostmi usazenými v Německu ustanoven pověřencem, a to každou zvlášť. Podle předkládajícího soudu bylo cílem tohoto souběžného ustanovení FC pověřencem všech těchto podniků dosažení jednotného standardu ochrany údajů v uvedených podnicích.
Na žádost pověřence pro ochranu osobních údajů a svobodu informací Durynska (Německo) společnost X-FAB a podniky uvedené v bodě 12 tohoto rozsudku odvolaly s okamžitým účinkem prostřednictvím dopisů ze dne 1. prosince 2017 FC z funkce pověřence. Samostatnými dopisy ze dne 25. května 2018 zopakovaly tyto podniky pro všechny případy svůj postup na základě čl. 38 odst. 3 druhé věty GDPR, který se mezitím stal účinným, přičemž se dovolávaly důvodů souvisejících se skupinou společností, k níž patří společnost X-FAB.
Žaloba podaná FC k německým soudům směřuje k určení, že je stále pověřencem společnosti X-FAB. Společnost X-FAB tvrdí, že existuje nebezpečí střetu zájmů, vykonává-li FC současně funkci pověřence a předsedy podnikové rady, a to z důvodu, že tyto dvě pozice jsou neslučitelné. V důsledku toho existuje vážný důvod pro to, aby byl FC odvolán z funkce pověřence.
Soud prvního stupně a odvolací soud žalobě podané FC vyhověly. Společnost X-FAB se prostřednictvím opravného prostředku „
Revision
“, který podala k předkládajícímu soudu Bundesarbeitsgericht (Spolkový pracovněprávní soud, Německo), domáhá zamítnutí této žaloby.
Předkládající soud uvádí, že výsledek tohoto opravného prostředku závisí na výkladu unijního práva. Konkrétně vyvstává otázka, zda čl. 38 odst. 3 druhá věta GDPR brání tomu, aby právní úprava členského státu podmínila odvolání pověřence přísnějšími podmínkami, než které stanoví unijní právo, a pokud ano, zda toto ustanovení spočívá na dostatečném právním základě. V případě, že by měl Soudní dvůr za to, že podmínky, na které BDSG váže odvolání, jsou v souladu s unijním právem, je třeba určit, zda funkce předsedy podnikové rady a pověřence může vykonávat jedna a tatáž osoba, nebo zda to vede ke střetu zájmů ve smyslu čl. 38 odst. 6 druhé věty GDPR.
Za těchto podmínek se Bundesarbeitsgericht (Spolkový pracovněprávní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být čl. 38 odst. 3 druhá věta [GDPR] vykládán v tom smyslu, že brání takovému ustanovení vnitrostátního práva, jako je v projednávané věci § 38 odst. 1 a 2 ve spojení s § 6 odst. 4 první větou [BDSG], které odvolání [pověřence] ze strany správce, který je jeho zaměstnavatelem, váže na splnění určitých podmínek, bez ohledu na to, zda k němu dochází v souvislosti s plněním jeho úkolů?
V případě kladné odpovědi na první otázku:
2)
Brání čl. 38 odst. 3 druhá věta GDPR takovému ustanovení vnitrostátního práva i v případě, že jmenování [pověřence] není povinné podle čl. 37 odst. 1 GDPR, nýbrž pouze podle práva členského státu?
V případě kladné odpovědi na první otázku:
3)
Zakládá se čl. 38 odst. 3 druhá věta GDPR na dostatečném zmocnění, a to zejména v rozsahu, v jakém se vztahuje na [pověřence], kteří jsou u správce v pracovním poměru?
V případě záporné odpovědi na první otázku:
4)
Jedná se o střet zájmů ve smyslu čl. 38 odst. 6 druhé věty GDPR, jestliže [pověřenec] zároveň zastává funkci předsedy podnikové rady zřízené u správcovského subjektu? Je k tomu, aby bylo možno mít za to, že se o takový střet zájmů jedná, třeba zvláštního rozdělení úkolů v rámci podnikové rady?“
K předběžným otázkám
K první otázce
Podstatou první otázky předkládajícího soudu je, zda čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, jež stanoví, že správce nebo zpracovatel může odvolat pověřence, který je jeho zaměstnancem, pouze ze závažného důvodu, i když odvolání nesouvisí s výkonem úkolů tohoto pověřence.
Jak vyplývá z ustálené judikatury, pro výklad ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění v souladu s jeho obvyklým významem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
a citovaná judikatura).
V prvním sledu, pokud jde o znění dotčeného ustanovení, je třeba uvést, že čl. 38 odst. 3 GDPR ve své druhé větě stanoví, že „[v] souvislosti s plněním svých úkolů není [pověřenec] správcem nebo zpracovatelem propuštěn ani sankcionován“.
V tomto ohledu Soudní dvůr v rozsudku ze dne 22. června 2022, Leistritz (
C‑534/20
,
EU:C:2022:495
, body
a
), poté, co konstatoval, že GDPR nedefinuje pojmy „propuštěn“, „sankcionován“ a „v souvislosti s plněním svých úkolů“, které jsou uvedeny v čl. 38 odst. 3 druhé větě, zaprvé zdůraznil, že podle významu, který tyto výrazy mají v běžném jazyce, skutečnost, že správce nebo zpracovatel má zakázáno pověřence propustit nebo sankcionovat, znamená, že tento pověřenec musí být chráněn před jakýmkoliv rozhodnutím, kterým by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo které by představovalo sankci.
Takové rozhodnutí přitom může představovat odvolání pověřence, které by bylo přijato jeho zaměstnavatelem a mělo by za následek, že pověřenec bude správcem nebo zpracovatelem propuštěn.
Zadruhé, jak rovněž uvedl Soudní dvůr, čl. 38 odst. 3 druhá věta GDPR se podle čl. 37 odst. 6 GDPR vztahuje bez rozdílu jak na pověřence, který je pracovníkem správce či zpracovatele, tak i na pověřence, jenž plní své úkoly na základě smlouvy o poskytování služeb uzavřené se správcem nebo zpracovatelem, takže se tento čl. 38 odst. 3 druhá věta GDPR vztahuje na vztahy mezi pověřencem a správcem nebo zpracovatelem, nezávisle na povaze pracovní vazby mezi nimi (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, body
a
).
Zatřetí posledně uvedené ustanovení stanoví mez, která spočívá v zákazu propuštění pověřence z jakéhokoli důvodu souvisejícího s plněním jeho úkolů, ke kterým podle čl. 39 odst. 1 písm. b) GDPR patří zejména kontrola dodržování ustanovení unijního práva nebo práva členských států v oblasti ochrany osobních údajů, jakož i interních pravidel správce nebo zpracovatele v oblasti ochrany osobních údajů. (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
V druhém sledu, pokud jde o cíl sledovaný čl. 38 odst. 3 druhou větou GDPR, uvádí zaprvé bod 97 odůvodnění GDPR, že pověřenci bez ohledu na to, zda se jedná o zaměstnance správce, by měli být schopni plnit své povinnosti a úkoly nezávislým způsobem. V tomto ohledu jim takováto nezávislost musí nutně umožnit plnění těchto úkolů v souladu s cílem GDPR, kterým je, jak vyplývá z bodu 10 jeho odůvodnění, zejména zajistit vysokou úroveň ochrany fyzických osob v Unii, a za tím účelem zajistit v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod těchto osob v souvislosti se zpracováváním osobních údajů (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
a citovaná judikatura).
Zadruhé cíl zaručit funkční nezávislost pověřence, který vyplývá z čl. 38 odst. 3 druhé věty GDPR, vyplývá rovněž z čl. 38 odst. 3 první a třetí věty, které stanoví, že tento pověřenec nedostává žádné pokyny týkající se výkonu jeho úkolů, a je přímo podřízen vrcholovým řídícím pracovníkům správce nebo zpracovatele, jakož i z uvedeného čl. 38 odst. 5, který stanoví, že uvedený pověřenec je v souvislosti s výkonem svých úkolů vázán tajemstvím nebo důvěrností (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
Článek 38 odst. 3 druhá věta GDPR, který chrání pověřence před jakýmkoliv rozhodnutím, jímž by byl ukončen výkon jeho funkce, které by mu způsobovalo újmu, nebo by představovalo sankci, pokud by souviselo s výkonem jeho úkolů, proto musí být považován za ustanovení, jehož hlavním cílem je zachovat funkční nezávislost pověřence a tím zaručit účinnost ustanovení GDPR (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
Jak Soudní dvůr rovněž rozhodl, tento výklad je ve třetím sledu potvrzen kontextem, do něhož uvedené ustanovení zapadá, a zejména právním základem, na jehož základě unijní normotvůrce GDPR přijal (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
Z preambule GDPR totiž vyplývá, že toto nařízení bylo přijato na základě článku 16 SFEU, jehož odstavec 2 zejména stanoví, že Evropský parlament a Rada Evropské unie přijmou řádným legislativním postupem pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů (rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
V tomto ohledu stanovení pravidel o ochraně pověřence zaměstnaného správcem nebo zpracovatelem před odvoláním spadá pod ochranu fyzických osob při zpracování osobních údajů pouze v rozsahu, v němž taková pravidla směřují k zachování funkční nezávislosti pověřence v souladu s čl. 38 odst. 3 druhou větou GDPR (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
Z toho vyplývá, že každý členský stát může při výkonu své pravomoci stanovit zvláštní ochranná ustanovení v oblasti odvolávání pověřence, pokud jsou tato ustanovení slučitelná s unijním právem, a zejména s ustanoveními GDPR, především s jeho čl. 38 odst. 3 druhou větou (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
Takováto zvýšená ochrana zejména nesmí ohrozit dosažení cílů GDPR. Tak by tomu přitom bylo tehdy, pokud by tato ochrana bránila jakémukoli odvolání ze strany správce nebo zpracovatele pověřence, který by již neměl profesní kvality vyžadované pro výkon jeho úkolů v souladu s čl. 37 odst. 5 GDPR nebo by tyto úkoly neplnil v souladu s ustanoveními tohoto nařízení (v tomto smyslu viz rozsudek ze dne 22. června 2022, Leistritz,
C‑534/20
,
EU:C:2022:495
, bod
).
V tomto ohledu je třeba připomenout, jak bylo uvedeno v bodě 25 tohoto rozsudku, že GDPR má zajistit vysokou úroveň ochrany fyzických osob v Unii, pokud jde o zpracování jejich osobních údajů, a pro dosažení tohoto cíle musí být pověřenec schopen plnit své povinnosti a úkoly nezávislým způsobem.
Zvýšená ochrana pověřence, která by bránila jakémukoli odvolání pověřence v případě, že by již nemohl plnit své povinnosti a úkoly nezávislým způsobem z důvodu střetu zájmů, by tak ohrozila dosažení tohoto cíle.
Je na vnitrostátním soudu, aby se ujistil, že taková zvláštní ustanovení, jako jsou ustanovení uvedená v bodě 31 tohoto rozsudku, jsou slučitelná s unijním právem a zejména s ustanoveními GDPR.
S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět, že čl. 38 odst. 3 druhá věta GDPR musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, jež stanoví, že správce nebo zpracovatel může odvolat pověřence, který je jeho zaměstnancem, pouze ze závažného důvodu, i když odvolání nesouvisí s výkonem úkolů tohoto pověřence, pokud tato právní úprava neohrožuje dosažení cílů GDPR.
Ke druhé a třetí otázce
S ohledem na odpověď podanou na první otázku není důvodné odpovídat na druhou a třetí otázku.
Ke čtvrté otázce
Podstatou čtvrté otázky předkládajícího soudu je, za jakých podmínek lze konstatovat existenci „střetu zájmů“ ve smyslu čl. 38 odst. 6 GDPR.
Pokud jde v první řadě o znění dotčeného ustanovení, je třeba uvést, že podle čl. 38 odst. 6 GDPR „[Pověřenec] může plnit i jiné úkoly a povinnosti. Správce nebo zpracovatel zajistí, aby žádné z těchto úkolů a povinností nevedly ke střetu zájmů.“
Ze znění tohoto ustanovení tak zaprvé vyplývá, že GDPR nestanoví zásadní neslučitelnost výkonu funkce pověřence s výkonem jiných funkcí u správce nebo zpracovatele. Článek 38 odst. 6 tohoto nařízení totiž konkrétně stanoví, že pověřenec může plnit i jiné úkoly a povinnosti, než jsou ty, které mu ukládá článek 39 GDPR.
Zadruhé však správce nebo zpracovatel musí zajistit, aby žádné z těchto úkolů a povinností nevedly ke „střetu zájmů“. S ohledem na význam těchto výrazů v běžném jazyce je třeba mít za to, že v souladu s cílem sledovaným čl. 38 odst. 6 GDPR nelze pověřenci svěřit plnění úkolů nebo povinností, které by mohly narušit plnění povinností, které plní jako pověřenec.
Pokud jde o tento cíl, je třeba v druhé řadě uvést, že toto ustanovení směřuje, stejně jako ostatní ustanovení uvedená v bodě 25 tohoto rozsudku, především k zachování funkční nezávislosti pověřence, a tudíž k zajištění účinnosti ustanovení GDPR.
V třetí řadě, pokud jde o kontext, do něhož spadá čl. 38 odst. 6 GDPR, je třeba uvést, že podle čl. 39 odst. 1 písm. b) GDPR je úkolem pověřence zejména monitorování souladu s GDPR, dalšími předpisy Unie nebo členských států v oblasti ochrany údajů a s koncepcemi správce nebo zpracovatele v oblasti ochrany osobních údajů, včetně rozdělení odpovědnosti, zvyšování povědomí a odborné přípravy pracovníků zapojených do operací zpracování a souvisejících auditů.
Z toho zejména vyplývá, že pověřenec nemůže plnit úkoly nebo povinnosti, které by ho vedly k určování účelů a prostředků zpracování osobních údajů u správce nebo zpracovatele. V souladu s unijním právem nebo s právem členských států v oblasti ochrany osobních údajů musí být totiž kontrola těchto účelů a prostředků vykonávána nezávisle pověřencem.
Určení existence střetu zájmů ve smyslu čl. 38 odst. 6 GDPR musí být provedeno případ od případu na základě posouzení všech relevantních okolností, zejména organizační struktury správce nebo zpracovatele, a ve světle veškeré použitelné právní úpravy, včetně případných vnitřních pravidel tohoto správce či zpracovatele.
S ohledem na všechny výše uvedené úvahy je třeba na čtvrtou otázku odpovědět tak, že čl. 38 odst. 6 GDPR musí být vykládán v tom smyslu, že „střet zájmů“ ve smyslu tohoto ustanovení může nastat, pokud jsou pověřenci svěřeny jiné úkoly nebo povinnosti, které by vedly k tomu, že by tento pověřenec určoval účely a prostředky zpracování osobních údajů u správce nebo zpracovatele, což musí vnitrostátní soud určit případ od případu na základě posouzení všech relevantních okolností, zejména organizační struktury správce nebo zpracovatele, a ve světle veškeré použitelné právní úpravy, včetně případných interních pravidel tohoto správce či zpracovatele.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (šestý senát) rozhodl takto:

1)
Článek 38 odst. 3 druhá věta nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, jež stanoví, že správce nebo zpracovatel může odvolat pověřence pro ochranu osobních údajů, který je jeho zaměstnancem, pouze ze závažného důvodu, i když odvolání nesouvisí s výkonem úkolů tohoto pověřence, pokud tato právní úprava neohrožuje dosažení cílů tohoto nařízení.

2)
Článek 38 odst. 6 nařízení (EU) 2016/679 musí být vykládán v tom smyslu, že „střet zájmů“ ve smyslu tohoto ustanovení může nastat, pokud jsou pověřenci svěřeny jiné úkoly nebo povinnosti, které by vedly k tomu, že by tento pověřenec určoval účely a prostředky zpracování osobních údajů u správce nebo zpracovatele, což musí vnitrostátní soud určit případ od případu na základě posouzení všech relevantních okolností, zejména organizační struktury správce nebo zpracovatele, a ve světle veškeré použitelné právní úpravy, včetně případných interních pravidel tohoto správce či zpracovatele.

Podpisy.
(
*1
) – Jednací jazyk: němčina.