62020CJ0534_RES
Mål C‑534/20
Leistritz AG
mot
LH
(begäran om förhandsavgörande från Bundesarbeitsgericht)
Domstolens dom (första avdelningen) av den 22 juni 2022
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 38.3 andra stycket – Dataskyddsombud – Förbud för den personuppgiftsansvarige eller personuppgiftsbiträdet att avsätta eller låta dataskyddsombudet bli föremål för sanktioner för att ha utfört sina uppgifter– Rättslig grund – Artikel 16 FEUF – Krav på funktionellt oberoende – Nationell lagstiftning som förbjuder uppsägning av ett dataskyddsombud om det inte finns synnerliga skäl”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Dataskyddsombud – Uppgift – Förbud för den personuppgiftsansvarige eller personuppgiftsbiträdet att avsätta eller låta dataskyddsombudet bli föremål för sanktioner för att ha utfört sina uppgifter –Nationell lagstiftning som förbjuder uppsägning av ett dataskyddsombud om det inte finns synnerliga skäl – Uppsägning som inte har samband med utövandet av dataskyddsombudets uppgifter – Tillåtlighet – Villkor – Iakttagande av förordningens målsättningar
(Europaparlamentets och rådets förordning 2016/679, artikel 38.3, andra meningen)
(se punkterna 21–36 samt domslutet)
Resumé
LH är sedan den 1 februari 2018 dataskyddsombud på företaget Leistritz AG. Leistritz är enligt tysk lagstiftning skyldigt att utse ett dataskyddsombud. I juli 2018 sade Leistritz upp LH och angav att bolaget skulle omstrukturera sin verksamhet, vilket innebar att arbetet med skydd för personuppgifter skulle externaliseras.
LH ifrågasatte giltigheten av uppsägningen och väckte talan vid domstol. Underinstanserna fann att uppsägningen var ogiltig. I enlighet med bestämmelserna i tysk federal lagstiftning kunde LH, i egenskap av dataskyddsombud, endast sägas upp om det förelåg synnerliga skäl. Enligt underinstanserna utgör en omstrukturering av Leistritz verksamhet emellertid inte något synnerligt skäl.
Leistritz överklagade till Bundesarbeitsgericht (Federala arbetsdomstolen, Tyskland). Den domstolen frågar sig huruvida en lagstiftning i en medlemsstat enligt vilken villkoren för att säga upp ett dataskyddsombud är strängare än dem som gäller enligt unionsrätten, är tillåten enligt GDPR. (
1
)
Domstolen slår i sin dom fast att artikel 38.3 andra meningen GDPR (
2
) inte utgör hinder för en nationell lagstiftning enligt vilken det föreskrivs att en personuppgiftsansvarig eller ett personuppgiftsbiträde endast får säga upp ett dataskyddsombud som ingår i den ansvariges eller biträdets personal om det föreligger synnerliga skäl. Detta resonemang gäller även om uppsägningen inte har något samband med ombudets utförande av sina uppgifter, förutsatt att den nationella lagstiftningen inte undergräver förverkligandet av målsättningarna med GDPR.
Domstolens bedömning
Domstolen understryker för det första att enligt artikel 38.3 andra meningen i GDPR innebär förbudet för den personuppgiftsansvarige eller personuppgiftsbiträdet att avsätta eller låta ett dataskyddsombud bli föremål för sanktioner, att ombudet ska vara skyddat mot varje beslut som innebär att vederbörande avsätts, lider en nackdel eller blir föremål för en sanktion. En uppsägning av ett dataskyddsombud som vidtas av dennes arbetsgivare och som innebär att det befintliga anställningsförhållandet mellan ombudet och arbetsgivaren upphör, vilket följaktligen också innebär att uppdraget som dataskyddsombud vid det aktuella företaget upphör, kan utgöra ett sådant beslut. Beträffande nämnda anställningsförhållande konstaterar domstolen att artikel 38.3 andra meningen i GDPR är tillämplig utan åtskillnad på både dataskyddsombud som ingår i den personuppgiftsansvariges eller personuppgiftsbiträdets personal och dataskyddsombud som utför uppgifterna på grundval av ett tjänsteavtal. Den bestämmelsen kan således tillämpas på förhållandet mellan ett dataskyddsombud och en personuppgiftsansvarig eller ett personuppgiftsbiträde, oberoende av vilket slags anställningsförhållande som råder mellan ombudet och den ansvarige eller biträdet. Den bestämmelsen fastställer en gräns som innebär att det är förbjudet att säga upp ett dataskyddsombud av ett skäl som är hänförligt till utförandet av ombudets uppgifter. (
3
)
Beträffande den målsättning som eftersträvas med artikel 38.3 andra meningen i GDPR (
4
) anges det i den förordningen att dataskyddsombud, oavsett om de är anställda av den personuppgiftsansvarige eller ej, bör kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt, i enlighet med förordningens syfte. (
5
) Syftet att garantera dataskyddsombudets funktionella oberoende (
6
) innebär att ombudet inte får ta emot instruktioner som gäller utförandet av sina uppgifter och att ombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå, samt att ombudet ska vara bundet av sekretess eller konfidentialitet. Artikel 38.3 andra meningen i GDPR syftar således till att garantera dataskyddsombudets funktionella oberoende, genom att skydda ombudet från beslut som skulle kunna innebära att dennes uppdrag upphör, som skulle innebära att ombudet lider en nackdel eller som skulle utgöra en sanktion – när ett sådant beslut har samband med utförandet av ombudets uppgifter. Bestämmelsen har däremot inte som målsättning att på ett övergripande sätt reglera anställningsförhållandet mellan en personuppgiftsansvarig eller ett personuppgiftsbiträde och individer som ingår i dennes personal.
Beträffande det sammanhang i vilket artikel 38.3 andra meningen i GDPR ingår, konstaterar domstolen att med undantag för det specifika skyddet för dataskyddsombud enligt den bestämmelsen, så ingår fastställandet av regler om skydd mot uppsägning av ett dataskyddsombud som är anställt av en personuppgiftsansvarig eller ett personuppgiftsbiträde inte bland de regler som får antas med stöd av GDPR, (
7
) utan i det socialpolitiska området. Unionen och medlemsstaterna har delade befogenheter (
8
) på detta område. Unionen ska nämligen understödja och komplettera medlemsstaternas verksamhet för att skydda arbetstagarna då deras anställningsavtal slutar gälla, genom att anta minimikrav på detta område. Varje medlemsstat får således vid utövandet av sina befogenheter anta mer långtgående specialbestämmelser angående skydd mot uppsägning av dataskyddsombud, förutsatt att dessa bestämmelser är förenliga med bestämmelserna i GDPR. Ett sådant förstärkt skydd får inte äventyra förverkligandet av målsättningarna med GDPR. Detta skulle vara fallet om skyddet för dataskyddsombud innebar att det inte var möjligt för en personuppgiftsansvarig eller ett personuppgiftsbiträde att säga upp ett dataskyddsombud som inte längre har de erforderliga yrkeskvalifikationerna för att utföra sina uppgifter eller som inte utför sina uppgifter i enlighet med bestämmelserna i GDPR.
(
1
)	Se, bland annat, artikel 38.3 andra meningen i Europaparlamentets och rådets förordning 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad GDPR).
(
2
)	Enligt artikel 38.3 andra meningen GDPR får ett dataskyddsombud inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter.
(
3
)	Dessa uppgifter innefattar enligt artikel 39.1 b i GDPR i synnerhet att övervaka efterlevnaden av unionsbestämmelser eller nationella bestämmelser om dataskydd samt av den personuppgiftsansvariges eller personuppgiftsbiträdets interna regler för skydd av personuppgifter.
(
4
)	Bland annat skäl 97 i GDPR.
(
5
)	Såsom framgår av skäl 10 i GDPR, syftar förordningen bland annat till att säkerställa en hög skyddsnivå för fysiska personer inom unionen.
(
6
)	Såsom framgår av artikel 38.3 första, andra och tredje meningarna samt artikel 38.5 i GDPR.
(
7
)	Artikel 16.2 FEUF utgör den rättsliga grunden för GDPR. Enligt den bestämmelsen får Europaparlamentet och rådet anta regler om skydd för enskilda personer när det gäller behandling av personuppgifter samt om den fria rörligheten för sådana uppgifter.
(
8
)	Enligt artikel 4.2 b FEUF.