62020CJ0534_RES
Asunto C‑534/20
Leistritz AG
contra
LH
(Petición de decisión prejudicial planteada por el Bundesarbeitsgericht)
Sentencia del Tribunal de Justicia (Sala Primera) de 22 de junio de 2022
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 38, apartado 3, segunda frase — Delegado de protección de datos — Prohibición de que un responsable o un encargado del tratamiento destituya a un delegado de protección de datos o lo sancione por desempeñar sus funciones — Base jurídica — Artículo 16 TFUE — Exigencia de independencia funcional — Normativa nacional que prohíbe el despido de un delegado de protección de datos sin causa grave»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Delegado de protección de datos — Función — Prohibición de que un responsable o un encargado del tratamiento destituya a un delegado de protección de datos o lo sancione por desempeñar sus funciones — Normativa nacional que prohíbe el despido de un delegado de protección de datos sin causa grave — Despido que no guarda relación con el desempeño de sus funciones — Procedencia — Requisito — Garantía de los objetivos previstos por ese Reglamento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 38, ap. 3, segunda frase]
(véanse los apartados 21 a 36 y el fallo)
Resumen
LH ejerce, desde el 1 de febrero de 2018, la función de delegado de protección de datos en la sociedad Leistritz AG. Esa sociedad está obligada, en virtud de la normativa alemana, a designar un delegado de protección de datos. En julio de 2018, Leistritz despidió con preaviso a LH, invocando una medida de reestructuración de sus actividades, por la que se externalizaba el servicio de protección de datos.
Las instancias inferiores ante las que LH impugnó la validez de su despido decidieron que dicho despido era inválido. En efecto, de conformidad con las disposiciones de la normativa federal alemana, LH, en su condición de delegada en la protección de datos, únicamente podía ser despedida sin preaviso por causa grave. Pues bien, consideraron que la reestructuración de las actividades de Leistritz no constituye una causa de ese tipo.
A raíz del recurso interpuesto por Leistritz ante el Bundesarbeitsgericht (Tribunal Supremo de lo Laboral, Alemania), dicho órgano jurisdiccional se pregunta si el Reglamento General de Protección de Datos (
1
) no se opone a una normativa de un Estado miembro que supedita el despido de un delegado de protección de datos al cumplimiento de unos requisitos más estrictos que los impuestos por el Derecho de la Unión.
Mediante su sentencia, el Tribunal de Justicia ha declarado que el artículo 38, apartado 3, segunda frase, del RGPD (
2
) no se opone a una normativa nacional que establece que un responsable o un encargado del tratamiento solo puede despedir a un delegado de protección de datos que forme parte de su plantilla por causa grave. Este razonamiento es aplicable aun cuando el despido no esté relacionado con el ejercicio de las funciones de dicho delegado, siempre que esa normativa no ponga en peligro la consecución de los objetivos del RGPD.
Apreciación del Tribunal de Justicia
En primer lugar, el Tribunal de Justicia subraya que, con arreglo al artículo 38, apartado 3, segunda frase, del RGPD, la prohibición impuesta al responsable o encargado del tratamiento de destituir a un delegado de protección de datos o de sancionarlo significa que dicho delegado debe estar protegido contra cualquier decisión que ponga fin a sus funciones, le sea desfavorable o constituya una sanción. De este modo, pueden constituir una decisión de ese tipo las medidas de despido de un delegado de protección de datos que adopte su empleador y que pongan fin a la relación laboral existente entre ese delegado y el empleador. Por lo que respecta a esta relación laboral, el Tribunal de Justicia precisa que el artículo 38, apartado 3, segunda frase, del RGPD se aplica indistintamente tanto al delegado de protección de datos que forma parte de la plantilla del responsable o del encargado del tratamiento como a quien desempeña sus funciones en el marco de un contrato de servicio celebrado con estos últimos. Por lo tanto, esta disposición está destinada a aplicarse a las relaciones entre un delegado de protección de datos y un responsable o encargado del tratamiento, con independencia de la naturaleza de la relación laboral que une a dicho delegado con estos últimos. Además, esta misma disposición establece un límite que consiste en prohibir el despido de un delegado de protección de datos por un motivo basado en el desempeño de sus funciones. (
3
)
En segundo lugar, por lo que respecta al objetivo perseguido por el artículo 38, apartado 3, segunda frase, del RGPD, este Reglamento (
4
) establece que los delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y cometidos de manera independiente, de acuerdo con el objetivo del RGPD. (
5
) Así pues, el objetivo de garantizar la independencia funcional del delegado de protección de datos (
6
) exige que este no reciba ninguna instrucción en lo que respecta al desempeño de sus funciones, rinda cuentas directamente al más alto nivel jerárquico del responsable o encargado del tratamiento y esté obligado a mantener el secreto o la confidencialidad en el desempeño de sus funciones. Por lo tanto, el artículo 38, apartado 3, segunda frase, del RGPD está dirigido a preservar la independencia del delegado de protección de datos, en la medida en que esta disposición le protege contra cualquier decisión que ponga fin a sus funciones, le sea desfavorable o constituya una sanción. No obstante, esta disposición no tiene por objeto regular globalmente las relaciones laborales entre un responsable o un encargado del tratamiento y las personas que forman parte de su plantilla.
Por lo que respecta, en tercer y último lugar, al contexto en el que se inscribe el artículo 38, apartado 3, segunda frase, del RGPD, el Tribunal de Justicia precisa que, al margen de la protección específica del delegado de protección de datos prevista en dicha disposición, la protección contra el despido de un delegado de protección de datos empleado por un responsable o encargado del tratamiento no está comprendida en el ámbito de aplicación de las normas que pueden adoptarse sobre la base del RGPD, (
7
) sino en el ámbito de la política social. Pues bien, la Unión y los Estados miembros disponen de una competencia compartida (
8
) en este ámbito. En efecto, la Unión apoya y completa la acción de los Estados miembros en el ámbito de la protección de los trabajadores en caso de extinción del contrato de trabajo, estableciendo disposiciones mínimas a este respecto. Por tanto, cada Estado miembro tiene libertad, en el ejercicio de su competencia, para establecer disposiciones especiales más protectoras en materia de despido del delegado de protección de datos, siempre que dichas disposiciones sean compatibles con las disposiciones del RGPD. En particular, tal protección reforzada no ha de poner en peligro la consecución de los objetivos del RGPD. Pues bien, así sucedería si esta impidiera cualquier despido, por parte de un responsable o de un encargado del tratamiento, de un delegado de protección de datos que ya no tuviera las cualidades profesionales requeridas para ejercer sus funciones o que no las cumpliera conforme a las disposiciones del RGPD.
(
1
)	Véase, en particular, el artículo 38, apartado 3, segunda frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
(
2
)	Con arreglo al artículo 38, apartado 3, segunda frase, del RGPD, el delegado de protección de datos no será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones.
(
3
)	En virtud del artículo 39, apartado 1, letra b), del RGPD, esas funciones comprenden, en particular, la supervisión de las disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales.
(
4
)	Y entre otros el considerando 97 del RGPD.
(
5
)	El RGPD, como se desprende de su considerando 10, pretende entre otras cosas garantizar un nivel uniforme y elevado de protección de las personas físicas dentro de la Unión.
(
6
)	Como se deduce del artículo 38, apartado 3, frases primera, segunda y tercera, y del artículo 38, apartado 5, del RGPD.
(
7
)	El artículo 16 TFUE, apartado 2, base jurídica del RGPD, permite la adopción de normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal y a la libre circulación.
(
8
)	En virtud del artículo 4 TFUE, apartado 2, letra b).